Šifrovaný adresář snadno a rychle

28.2.2009 16:18 | Přečteno: 2623× |

S novou prací přišel požadavek na uchovávání některých souborů v šifrovaném stavu pro připad ukradení notebooku. Zvolil jsem to co mi bylo doporučeno a to encfs, jehož nastavení zde popíšu.

Balíček encfs pravděpodobně bude ve vaší distribuci (alespoň v mém squeezovi je), takže by mělo stačit nainstalovat třeba pomocí apt-get. Pokud není, nebo chcete nejnovější verzi budete muset kompilovat. Encfs používá fuse, které by se mělo také nainstalovat, takže žádné upravování kernelu se nekoná.

Po nainstalování se přidejte do skupiny fuse, abyste jej mohli používat. Buď upravením /etc/groups a nebo usermod -a -G fuse uzivatel

Teď už můžem vytvořit šifrovaný adresář. Předpokládám že chceme, aby se zašifrovaná data ukládala do "~/.encrypted/". Rozšifrovaná je uvidíme ve složce ~/encrypted/

$ encfs ~/.encrypted/ ~/encrypted/
Creating new encrypted volume.
Please choose from one of the following options:
enter “x” for expert configuration mode,
enter “p” for pre-configured paranoia mode,
anything else, or an empty line will select standard mode.
?> 

zde jsem nechal nastavení na autorech, takže stačí smáčknout "p"

Paranoia configuration selected.

Configuration finished. The filesystem to be created has
the following properties:
Filesystem cipher: “ssl/aes”, version 2:1:1
Filename encoding: “nameio/block”, version 3:0:1
Key Size: 256 bits
Block Size: 512 bytes, including 8 byte MAC header
Each file contains 8 byte header with unique IV data.
Filenames encoded using IV chaining mode.
File data IV is chained to filename IV.

Pak už stačí dvakrát zadat heslo, pomocí kterého budete data připojovat. Nezapomenout! Bez něj jsou data v trapu.

Pokud používáte KDE, může se vám hodit frontend kencfs2. Instalace v debianu bez problemů. Stačí přes apt-get doinstalovat o co si balíček řekne. Po jeho nainstalování v manuálu najdete jak upravit /usr/bin/startkde aby se adresář zeptal na heslo a pžipojil hned po startu KDEček.

V příloze můžete vidět jak to nakonec vypadá. Nahoře data rozšifrovaná, dole zašifrovaná, v panelu je vidět ikonka od kencfs2 (vpravo).

       

Obrázky

Komentáře

[Messa]

Už to umí mmapovat soubory?

[Kvakor]

Nevim, jeslti to v novych API u FUSE zavedli, ale co jsem se dival naposledy, tak FUSE mmap()ovat neumi.

[Matlas]

zajímavé. já bych ale asi použil truecrypt s keyfile na usb kryptotokenu, třeba alladin eTokenPro. mám takhle zašifrovanou většinu usb flešek a externí disk. běhá to bez problémů.

 

[Jendа]

Bojim bojim, že se rozšifrovaná data dostanou do swapu nebo do /tmp. Každopádně lepší než nic.

[Limoto]

A swap se snad nedá šifrovat?

[Jendа]

Dá (já to tak třeba mám), ale přes encfs asi jenom jako soubor přes loopback. Když se k tomu ještě přičte "rychlost" fuse, tak to asi nebude nejlepší řešení.

[Michal Fecko]

A nieje lepsie na sifrovanie pouzivat TrueCrypt -> ukladanie do suboru za pouzitia password a keyfile?

[Jendа]

Já používám dm-crypt/luks/cryptsetup.

[filbar]

To já mám Fedoru 10 a mám šifrovaný celý disk jak na notebooku, tak na EEE ;)

[Michal Fecko]

Na EEE (700 ci 900?) mas Fedorku? No teda - to sa musi plazit, co?

[filbar]

Mám EEE900A a Fedoru 10 s GNOME. A pomalý je jenom zápis na ten SSD disk, jinak dvoujádro Atom na Fedoru stačí celkem dost. Kazí to jenom ten zápis na disk.

[9002]

No ja mam najlepsie skusenosti s nabehom na EEE 701 s FreeDOSom + USB patch na flashdisky + hack ovladaca na sietovku (wifi sa zail nekona)... Nabeh trva cca 7 sekund (nieco podobne ako default xandros) - > taky elektronicky zapisnikna cesty

 

[AsciiWolf]

Hm, a jaké jsou výhody oproti Xandrosu?

[Limoto]

To není dvoujádro. To je Hyper-Threading...

[pasmen]

EncFS je dobrý, hezký je to ve spojení s pam_encfs.

[Někdo jiný]

Jako jiné grafické rozhraní můžete zkusit třeba Cryptkeeper. Nějakou dobu jsem ho používal a není to úplně k zahození.

[Begleiter]

Co se týká *Ubuntu -- Setup Your Encrypted Private Directory.

[Martin Lebeda]

Možná, že řešení pomocí encfs není dokonalé, jak se znaží naznačit některé komentáře. Jde ale o to, zda je dostačující. Před nasazením, čehokoliv je dobré se ptát, zda nehodláme používat kanón na vrabce...

[Shadow]

Nebo naopak, jestli se nesnažíme zaútočit na M1A2 Abrams házením nějakého kamení...

[houska]

chces rict ze ten kdo by mi ukradl noteook by byl abrams a encryptfs?!

to uz je hodne paranoidni ... zase tak super tajny informace v nem nemam

[Shadow]

Samozřejmě záleží, před jakým útočníkem se snažíte data ochránit. Já můžu poradit jen dvě věci. Za prvé, ohlídat si, aby data určená k šifrování "neprosakovala" mimo šifrovanou oblast (/tmp, swap, historie naposledy otevřených souborů, náhledy multimediálních souborů, atd.). A za druhé, dbát pečlivě na to, aby se notebook někde nepovaloval bez dozoru s připojeným šifrovaným adresářem. Pozor na cold boot attack v případě sofistikovanějšího útočníka, jinak stačí paranoidně nastavený šetřič obrazovky, co "zamyká" obrazovku i po krátké nečinnosti a dát pozor na aktivní virtuální terminály.

Jinak, kdybyste uvažoval útočníka s opakovaným přístupem k vašemu notebooku, tak jej pečlivě zabezpečte, aby útočník nemohl notebook rebootovat, nabootovat z připravené flešky a nahrát vám tam rootkit. Za tím účelem je vhodnější plné diskové šifrování (systém, swap, data) a /boot, který zatím šifrovaný být nemůže, nosit na flešce třeba kolem krku.

Happy hacking!