Enkripsi Disk dengan VeraCrypt

Skenario Ancaman yang Perlu Diketahui

Enkripsi disk melindungi dari ancaman fisik, yaitu kondisi di mana seseorang memiliki akses langsung ke perangkat keras Anda:

• Laptop hilang atau dicuri — skenario paling umum. Tanpa enkripsi, data 100% bisa diakses.
• Pemeriksaan di perbatasan atau bandara — di beberapa negara, aparat bisa meminta akses ke perangkat.
• Laptop ditinggal di kantor atau hotel — seseorang dengan akses fisik singkat bisa menyalin data dari disk.
• Laptop lama yang dijual atau dibuang — format biasa tidak menghapus data secara aman; data bisa dipulihkan.

Dua Pendekatan Enkripsi

Algoritma Enkripsi di VeraCrypt

Untuk penggunaan sehari-hari, AES-256 adalah pilihan terbaik — keamanannya sudah sangat tinggi dan performanya tercepat karena hampir semua CPU modern punya instruksi AES hardware acceleration.

• Saya memahami perbedaan volume container dan full disk encryption
• Saya sudah memutuskan akan mulai dengan volume container terlebih dahulu

VeraCrypt adalah software enkripsi open source yang sudah diaudit secara independen. Selalu unduh dari situs resmi dan verifikasi file sebelum dijalankan — ini memastikan file tidak dimodifikasi atau disusupi.

Download dari Situs Resmi

1. Buka veracrypt.fr/en/Downloads.html
2. Pilih installer yang sesuai sistem operasi Anda:
   • Windows: VeraCrypt Setup x.xx.exe
   • macOS: VeraCrypt_x.xx.dmg
   • Linux: veracrypt-x.xx-setup.tar.bz2
3. Unduh juga file PGP Signature (.sig) di sebelah installer
4. Unduh VeraCrypt PGP Public Key dari halaman yang sama

Verifikasi Integritas File (Windows — Cara Cepat)

Cara tercepat di Windows adalah memverifikasi hash SHA-512. Buka PowerShell dan jalankan:

Get-FileHash "C:\Users\Anda\Downloads\VeraCrypt Setup.exe" -Algorithm SHA512

Bandingkan output hash dengan nilai yang tercantum di halaman download VeraCrypt (di bagian SHA512). Jika cocok persis, file aman untuk dijalankan.

Instalasi VeraCrypt

1. Jalankan installer → pilih "Install" (bukan Extract)
2. Ikuti wizard instalasi → centang "Install for all users"
3. Saat muncul opsi untuk install driver, pilih Yes
4. Setelah instalasi selesai, buka VeraCrypt dari Start Menu atau Applications

• VeraCrypt sudah diunduh dari situs resmi (veracrypt.fr)
• Hash SHA-512 sudah diverifikasi dan cocok
• VeraCrypt sudah terinstal dan bisa dibuka

Volume container adalah file tunggal yang bertindak sebagai disk terenkripsi. Anda bisa menyimpan file apapun di dalamnya. Ketika di-mount, muncul sebagai drive biasa di File Explorer atau Finder. Ketika di-dismount, hanya terlihat sebagai satu file acak yang tidak terbaca.

Wizard Pembuatan Volume — Step by Step

• Volume container VeraCrypt berhasil dibuat
• Saya sudah mencatat password-nya dan menyimpannya di Bitwarden
• File container bisa ditemukan di lokasi yang dipilih tadi

Menggunakan volume VeraCrypt sangat sederhana: mount saat butuh akses, simpan file di dalamnya, dismount saat selesai. Saat dismounted, semua isi tidak bisa diakses oleh siapapun tanpa password.

Cara Mount Volume

1. Buka VeraCrypt
2. Klik salah satu drive letter yang tersedia di daftar (misalnya E: atau F: di Windows)
3. Klik tombol Select File → cari dan pilih file container Anda (backup_data.vcx)
4. Klik Mount → masukkan password
5. Volume muncul sebagai drive baru di File Explorer (Windows) atau di Finder/desktop (macOS/Linux)
6. Gunakan volume seperti drive biasa — buka, simpan, edit file

Cara Dismount Volume (Wajib Setelah Selesai)

1. Tutup semua file yang dibuka dari volume tersebut
2. Di jendela VeraCrypt, pilih drive yang sedang di-mount
3. Klik Dismount → volume hilang dari File Explorer
4. Alternatif: klik Dismount All untuk menutup semua volume sekaligus

Tips Produktivitas

• Auto-dismount: Di VeraCrypt → Settings → Preferences → centang "Auto-dismount volume when: screen saver is launched" dan "no data has been read/written for X minutes". Ini memastikan volume terkunci otomatis jika Anda lupa.
• Keyfiles: VeraCrypt mendukung keyfile (file tambahan sebagai faktor kedua). Fitur lanjutan untuk keamanan ekstra.
• Di USB flash drive: Buat volume container di USB, maka data di USB otomatis terenkripsi saat USB lepas dari komputer.

• Saya sudah berhasil mount volume VeraCrypt
• Saya sudah menyimpan beberapa file ke dalam volume
• Saya sudah berhasil dismount dan memastikan drive menghilang dari File Explorer
• Auto-dismount sudah dikonfigurasi

Enkripsi sistem penuh mengenkripsi seluruh disk Windows — termasuk file sistem, pagefile, hibernasi, dan semua file pengguna. Setelah aktif, Anda akan diminta memasukkan password enkripsi sebelum Windows bahkan mulai booting.

Opsi 1 — BitLocker (Windows Pro/Enterprise)

BitLocker adalah enkripsi disk bawaan Windows dan merupakan pilihan termudah jika tersedia:

1. Buka Control Panel → System and Security → BitLocker Drive Encryption
2. Klik "Turn on BitLocker" di samping drive C:
3. Ikuti wizard: pilih metode unlock (password atau USB key)
4. Pilih cara menyimpan recovery key — jangan hanya simpan ke akun Microsoft; simpan juga ke file dan cetak fisik
5. Pilih "Encrypt entire drive" (bukan hanya ruang yang terpakai)
6. Pilih mode enkripsi: "New encryption mode (XTS-AES)"
7. Klik Start encrypting — proses berjalan di latar belakang, laptop tetap bisa digunakan

Opsi 2 — VeraCrypt System Encryption

VeraCrypt bisa mengenkripsi partisi sistem Windows secara penuh. Proses ini lebih kompleks dari BitLocker tetapi open source dan tidak bergantung pada Microsoft:

1. Buka VeraCrypt → klik Create Volume
2. Pilih "Encrypt the system partition or entire system drive"
3. Pilih "Normal" (bukan Hidden)
4. Pilih "Encrypt the whole drive"
5. Ikuti wizard: pilih algoritma (AES direkomendasikan), buat password pre-boot yang kuat
6. Gerakkan mouse secara acak untuk mengumpulkan entropi kriptografis
7. VeraCrypt akan membuat Rescue Disk — simpan file ISO ini dan bakar ke CD, atau buat bootable USB. Ini wajib dan akan digunakan jika ada masalah
8. Klik Test → VeraCrypt akan restart dan meminta password pre-boot untuk pertama kali
9. Masukkan password → Windows boot normal → VeraCrypt akan mulai proses enkripsi background

• Backup data sudah dilakukan sebelum memulai enkripsi sistem
• Enkripsi aktif (BitLocker atau VeraCrypt) dan proses berjalan di latar belakang
• Recovery key / Rescue Disk sudah disimpan di tempat yang aman dan terpisah

macOS menyertakan enkripsi disk bawaan bernama FileVault 2, yang menggunakan enkripsi XTS-AES-128 dengan kunci 256-bit. Untuk pengguna Mac, ini adalah pilihan terbaik — terintegrasi sempurna, mudah diaktifkan, dan tidak memerlukan software tambahan.

Cara Mengaktifkan FileVault

1. Buka System Settings (ikon Apple → System Settings)
2. Klik Privacy & Security di sidebar
3. Gulir ke bawah ke bagian FileVault
4. Klik Turn On…
5. Pilih cara menyimpan recovery key:
   • "Allow my iCloud account to unlock my disk" — mudah tapi bergantung pada Apple/iCloud
   • "Create a recovery key and do not use my iCloud account" — lebih privat; Anda yang menyimpan key 24-karakter
6. Jika memilih recovery key mandiri: catat key 24-karakter tersebut dan simpan di Bitwarden (Modul 01) atau kertas fisik di tempat aman
7. Klik Restart — proses enkripsi berjalan di latar belakang setelah restart

Verifikasi Status FileVault

Untuk mengecek apakah enkripsi sudah aktif dan seberapa jauh prosesnya, buka Terminal dan jalankan:

fdesetup status

Output FileVault is On berarti enkripsi sudah aktif sepenuhnya.

• FileVault sudah diaktifkan di macOS
• Recovery key 24-karakter sudah disimpan di Bitwarden atau kertas fisik
• Status FileVault sudah diverifikasi via Terminal atau System Settings

Linux menggunakan LUKS (Linux Unified Key Setup) sebagai standar enkripsi disk. Cara paling mudah adalah mengaktifkan enkripsi saat instalasi distro Linux — hampir semua installer modern menyediakan opsi ini.

Cara Terbaik: Aktifkan Saat Instalasi

Saat menginstal Ubuntu, Fedora, atau distro lain, pada tahap partisi akan ada opsi:

Ubuntu / Linux Mint:

1. Saat installer menampilkan layar "Installation type"
2. Pilih "Erase disk and install Ubuntu"
3. Centang "Use LVM with the new Ubuntu installation"
4. Centang "Encrypt the new Ubuntu installation for security"
5. Masukkan security key (password enkripsi disk) — gunakan passphrase yang kuat
6. Lanjutkan instalasi seperti biasa

Fedora:

1. Pada tahap Installation Destination, klik Custom
2. Centang "Encrypt my data" di bagian bawah
3. Buat passphrase enkripsi, lanjutkan konfigurasi partisi

Enkripsi Partisi yang Sudah Ada (Tanpa Instalasi Ulang)

Jika Linux sudah terinstal tanpa enkripsi, opsi paling aman adalah backup data, lalu instalasi ulang dengan enkripsi aktif. Mengenkripsi partisi yang sudah terisi data secara in-place sangat berisiko dan tidak direkomendasikan untuk pemula.

Sebagai alternatif sementara, gunakan volume container VeraCrypt (Langkah 3) untuk menyimpan file-file sensitif selagi berencana migrasi ke instalasi baru yang terenkripsi.

Verifikasi LUKS Aktif

lsblk -f | grep -i luks

Jika ada output berupa baris yang menampilkan crypto_LUKS, enkripsi sudah aktif di partisi tersebut.

• Enkripsi LUKS sudah aktif (diverifikasi via lsblk -f)
• Password enkripsi disk tersimpan di Bitwarden atau catatan fisik yang aman
• Saya memahami bahwa password ini diminta setiap kali boot

Enkripsi disk yang kuat adalah pedang bermata dua: melindungi dari orang lain, tapi juga bisa mengunci Anda sendiri jika terjadi masalah. Persiapkan skenario pemulihan sebelum masalah terjadi.

VeraCrypt Rescue Disk

Saat mengatur enkripsi sistem Windows dengan VeraCrypt, wizard secara otomatis membuat file ISO rescue disk. Rescue disk ini digunakan jika:

• VeraCrypt bootloader rusak (misalnya setelah update Windows yang bermasalah)
• Windows gagal booting setelah enkripsi
• Anda perlu mendekripsi disk darurat

Cara membuat bootable rescue disk dari ISO:

# Di Windows, gunakan Rufus (rufus.ie) untuk burn ISO ke USB flash drive
# Pilih file ISO → pilih USB target → klik START

Simpan Recovery Key / Password di Minimal 2 Tempat Berbeda

Prosedur Jika Lupa Password Pre-Boot (VeraCrypt)

1. Boot dari VeraCrypt Rescue Disk (USB/CD)
2. Pilih "Repair Options"
3. Jika bootloader rusak: pilih "Restore VeraCrypt Boot Loader"
4. Jika ingin mendekripsi seluruh disk: pilih "Permanently decrypt system partition/drive" — ini memerlukan password yang benar

Prosedur Jika Lupa Password FileVault (macOS)

1. Restart Mac → tahan tombol Power saat boot untuk masuk ke Recovery Mode
2. Pilih opsi untuk unlock dengan Recovery Key
3. Masukkan recovery key 24-karakter yang sudah disimpan
4. Anda bisa masuk ke sistem dan mengatur ulang password login

• Rescue disk / recovery key sudah disimpan di minimal 2 tempat berbeda
• Password enkripsi tersimpan di Bitwarden
• Saya sudah membaca prosedur pemulihan dan tahu apa yang harus dilakukan jika ada masalah
• Rescue disk sudah ditest bisa di-boot (opsional tapi sangat direkomendasikan)