De lo que he recopilado leyendo algunos documentos en línea:
- la la clave Truecrypt se almacena en la tarjeta dentro de 'Private Data Object 3' .
- De acuerdo con la documentación PDF de OpenPGP Card v2 , el objeto de datos privados 3 está protegido con el PIN de PW1 .
- La documentación de crypto-stick en el # 1 establece que
Consideración de seguridad: de acuerdo con el manual de TrueCrypt, una frase de contraseña de 64 caracteres es segura. Por lo tanto, la capacidad máxima como "objeto de datos privado 3" de 254 bytes es suficiente. Tenga en cuenta que TrueCrypt no hace uso de la seguridad total que ofrece el Crypto Stick (y las tarjetas inteligentes). En su lugar, almacena un archivo de claves en el Crypto Stick que podría ser recibido por un virus informático después de que el usuario ingrese la contraseña.
Creo que ninguno de los objetos de datos en la tarjeta están cifrados. Eso incluye objetos como tus llaves. Sin embargo, la tarjeta impide el acceso directo a esos objetos y aplica diferentes condiciones de acceso. Algunos objetos no se pueden leer en absoluto (por ejemplo, la clave privada del titular de la tarjeta), algunos generalmente están disponibles sin una contraseña (por ejemplo, Nombre, URL) y algunos están protegidos por contraseña (como el objeto de datos utilizado para Truecrypt), pero son recuperables. También hay diferentes contraseñas para diferentes "niveles de usuario" y acceso.
Por lo tanto, si lo entiendo correctamente solo por la documentación, es que el objeto de datos de Truecrypt solo está protegido con el PIN.
Especulación: creo que no hará ninguna diferencia práctica sin embargo, si se cifrara. Aún necesitarías descifrarlo para proporcionarlo a Truecrypt, en cuyo punto un atacante puede interceptarlo de todos modos. Esto se basa en mi entendimiento limitado, tal vez erróneo, de que Truecrypt en esta configuración no realiza ninguna operación de cifrado / descifrado en la tarjeta, sino que solo la utiliza para el almacenamiento de claves.
ACTUALIZACIÓN: la mayoría de las tarjetas inteligentes, y también parece que esta tarjeta, previene los ataques de fuerza bruta y bloquea el acceso después de algunos intentos fallidos. Esto debería proporcionar alguna protección todavía, por ejemplo. Si la tarjeta inteligente se pierde o es robada. Sin embargo, esto podría no ser suficiente contra un código deshonesto que podría interceptar el PIN o la tecla TC después de que el usuario ingrese el PIN correcto.