> можно ли идентифицировать как-то шифрованный раздел или нет, а тут такой примитивизм.
Да проще простого. Несколько вариантов:
1. Если отформатирован весь диск, то он, при включении компьютера, будет показан как не отформатированный либо, как уже написано выше, если он загрузочный, то потребует пароль -> профит. ;)
2. Если имеем скрытую копию, допустим с картинкой файла, то файл должен соответствовать. Простая программка сверения величин файлов выявит картинку или мп3 на 30-40гб, которая, к тому же, почему-то не открывается или не отвечает тому параметру качества, который должна бы иметь при такой величине ...не говоря уже о том, что система виснет при их открытии либо показывет белиберду вместо хедера... ;)
3. Допустим мы всё очень глубоко закопали, либо оставили немного места в конце диска и туда запихнули свой шифрованный образ - банальная сверка модели и общего места, при наличии отсутствия 5-500гб может навести на подозрения, нет?
4. Использование сторонних программ типо (google on) Passware Kit Forensik (пара лет уже как в продаже)
Извини, но контейнеры это полная фигня. ;)
> А определить ху из ху - нельзя.
А тебя спросить найдя один ненастоящий? Уж поверь, если найдут хотя бы один, то остальные все сам расскажешь . Электроректоанализ ещё никто не отменял. Да и одно упоминание о нём думаю заставит вспомнить всё. ;)