Dotaz: SIFROVANI - nenarocne, pro RPi

[petrfm]

Ahoj, stavim si na raspberry Pi maly souborovy server pro nenarocne pouziti - vesmes zalohy, fotky, atd. Rad bych k nemu pripojil disk pres USB a cele to sifroval pred zlodeji, apod. Nejde mi o nejakou brutalne paranoidni ochranu, necekam cileny utok, spise jde o to, aby kdyz to nekdo (zlodej) odnese, at ten disk v zastavarne radeji naformatuji, kdyz na nem nic nenajdou.

Na serveru pouzivam DM-crypt a LUKS, ale prijde mi to jako kanon na vrabce, ktery mi uplne sezere veskery procesor na tom RPi. Nasel jsem EncFs, to se mi hodne libi a bylo by to reseni, jak nechat treba slozku s filmy a multimedii nesifrovanou - kvuli vykonu a zasifrovat jen zalohy / osobni data.

Mate tuseni, jak to bude narocne na procesor? Predpokladam, ze jak DMCRYPT, tak EncFs ve finale pouzivaji stejne sifrovaci algoritmy, takze jde spise o vyber co nejjednodussiho algoritmu. Jaky algoritmus / sifrovani zvolit? Klidne poradte i neco jineho, nez zminene - ale asi to bude nejlepsi volba ve spojeni s jednoduchou sifrou ?

 

Diky,

P.

Odpovědi

[pepe_]

Tak nesifruj a udelej prez celej disk soubor  swap.swp a naformatuj ho na ext4 a ten primountuj. Kdyz ti to nekdo ukradne stejne to nebude umet zobrazit na woknech.

[petrfm]

Pockat, takze na NTFS vytvorit soubor a uvnitr toho souboru ext4 partysnu? Nebude to pomalejsi, nez to sifrovani?

Jinak defakto neco takoveho by stacilo - zmast pachatele v podstate jednoducha XOR funkce, nebo proste neco, co nezatizi zbytecne procesor a pritom si s tim BFU, ani zacatecnik linuxak neporadi a radeji to naformatuje a zpenezi

[petrfm]

Vim, ze se da soubor pripojit jako blokove zarizeni, ale nebude ten NTFS disk zrat vice procesoru, nez kdyby tam byl EXT4 s EncFs?

[Ivan]

nie nebude, v pripade malych suborov to bude rychlejsie ako FS

[petrfm]

Jak vlastne budou ta data ulozena v tom kontejneru?

Pokud to pripojim klasicky pres LOOP a ulozim do toho EXT4 txt soubor s obsahem ahoj, pokud nekdo vyedituje na NTFS ten swap.swp, bude tam ahoj, nebo to bude promichane, prave diky tomu EXT4?

Jde o to, aby to bylo fakt nenapadne, at nekdo nepouzije F3 v total comanderu a nenajde tam : Ahoj pepo

[tuxx]

Jakejkoli SSD s integrovanym sifrovanim ... ?

[petrfm]

Tak to bych si radeji zaplatil na 2 roky ozbrojenou ochranku a vyslo by to levneji, nez kupovat 3TB SSD s HW sifrovanim Nekdy se tem radam nestacim divit, kor kdyz hned v uvodu zminuji, ze to bude uloziste pro zalohovani a ....

Jeste se delaji HW sifrovane flashky, to je taky reseni, ne?

[xkucf03]

Šifrování umí i některé rotační disky. Obecně bych tomu nevěřil a nespoléhal se na to, ale pro tenhle účel¹ by to stačit mohlo.

_{[1] ochrana proti primitivním zlodějům, kteří to chtějí leda tak prodat do zastavárny}

[Jendа]

EncFs je pomalejší. Udělal bych dva oddíly (nebo LVM) a jeden zašifroval a jeden ne. Jinak moje RPi dá AESem 10 MB/s, což je víc, než vytáhneš z té sítě a USB disku.

[petrfm]

To je hodnota pro EncFs nebo DMCRYPT? Jinak ano, prostym dd na USB disk mi to dela cca 30MB/s, ale pres sit neprotlacim stejne vice, jak 10MB/s. Dokonce, pres wifi neni realnych vice, jak 5MB/s, spise mam ted okolo 1-2Mega.

Takze mi nevadi, kdyz to bude pomalejsi a tech 10MB/s je idealnich, jde jen o to, aby to nezatizilo procesor na 90%, protoze samotna samba si taky neco kousne. Mas vyzkousene, jakou rychlosti se da na takovy disk kopirovat pres sit?

Jinak dva oddily jsem chtel, pokud bych pouzil DMCRYPT, pokud bych sel do EncFs, je to jednodussi, protoze bych vyhradil cely disk a sifrovana data bych mel jen ve slozce s encfs - nafukovala by se postupne.

Dost ale zvazuju i tu variantu s tim kontejnerem na NTFS disku, je to sympaticky napad a rekl bych, ze odrazi 90% vsech moznych zajemcu o moje data - vetsina lidi ani nevi, jak ze sata disku s NTFS dostat data a nepocitam, ze by mne vykradl ajtak

[Jendа]

To je hodnota pro EncFs nebo DMCRYPT?

To je hodnota pro openssl speed aes-256-cbc.

Vyzkoušené nemám, RPi nepoužívám jako storage a mám tam jenom pomalé SD karty.

[Jendа]

EncFs je pomalejší.

Protože FUSE.

[petrfm]

Tak pani, pres NTFS cesta nevede. 1TB WD elements s NTFS - zapis sudo dd if=/dev/zero of=/mnt/disk/test1.tmp bs=500K count=1024

524288000 bytes (524 MB) copied, 135.568 s, 3.9 MB/s

To je hodne spatny vtip...

To same na EXT4 :

524288000 bytes (524 MB) copied, 16.9225 s, 31.0 MB/s

Cili jde se zkouset neco nad EXT4

[petrfm]

Tak, vysledky z encFS s defaultnim profilem :

524288000 bytes (524 MB) copied, 158.365 s, 3.3 MB/s

Ten procak v RPi asi vazne na nic jinyho, nez blikani ledkou nebude a to je primy zapis na disk... kde mame sambu, ktera sama o sobe zvejkne i 80% cpu ach jo

[petrfm]

Ha, tak schvalne jsem na malinu nainstaloval screen, at muzu mrknout, jak maka pri kopirovani. No a kdyz kopiruju 500Mega na encfs "disk", tak se procesor doslova cervena...

Vysledky z TOP - zatizeni CPU : 89% encfs a dalsich 10% dd

[petrfm]

Tak to je pech... uz bych se s temi 3MB smiril, protoze stejne tajnych dat tam bude malo a pres wifi z toho ani vice nevyzdimu, ale nejde mi ten adresar nasdilet pres sambu.

/mnt/disk/sdilene normalne sdilim, ale /mnt/odemceno mi nasdilet nejde

Je to ten encfs, zamcena slozka je na tom sdilenem disku a "mountuju" to do /mnt/odemceno

v smb.conf mam povoleny pristup vsem, cili nemam nastavena zadna prava a ucty pro to dane sdileni. At uz byl vlastnikem tech sdilenych slozek user pi, nebo root, neslo to. Nastavil jsem i CHMOD 777, takze by to melo jit i kdyz pristupuju jako guest, ale sdileni se mi v sambe normalne objevi, ale nejde do nej vejit, pise to, ze cesta nebyla nalezena (klientem je W7)

 

Je u toho encfs nejaka zvlastnost, ktera komplikuje to sdileni sambou? Na co se kouknout?

Diky, P.

[petrfm]

Uz tusim, kde je zrada... Kdyz se kouknu na ten adresar /mnt/odemceno - kam mimochodem mountuju ten encfs, tak pokud nejsem root, vidim po zadani ls -ls tohle :

pi@raspberrypi ~ $ ls -l /mnt
ls: cannot access /mnt/odemceno: Permission denied
total 4
drwxrwxrwx 5 root root 4096 Jun  6 23:10 disk
d????????? ? ?    ?       ?            ? odemceno

proste prd... i v MC se zobrazuje cervene a je proste divny. Az kdyz pouziju sudo, je vse ok. To je ale divne, protoze ma CHMOD 777, takze i kdyz root nejsem, mel bych jej normalne videt. Tady bude asi ta bota, vysvetli mi to nekdo?

 

DIky,

P.

[petrfm]

vyreseno...

http://forums.overclockers.com.au/showthread.php?t=662969

je treba zeditovat etc/fuse.conf a mountovat encfs s parametrem, ktery umozni pristup sambe

[VK]

Pokud vím, tak nejrychlejší je cryptsetup, proto ho mám na serveru. Rozhodoval jsem se tenkrát dlouho, a dost jsem toho přečetl, takže si myslím, že je to tak Na serveru používám AES-512, ale pro Raspberry bude stačit třeba AES-128, nebo úplně jiné šifrování, možností je spousta. A pokud možno použít LUKS, předejde se problémům.

[petrfm]

V podstate ted resim spise wifinu, nez RPi. Zjistil jsem, ze to je ten nejslabsi clanek. Pi je docela sragora, ale porad dokaze vytlacit aspon ty 3 mega pri pouziti EncFs, ale pres wifinu v byte neprotlacim vic, jak 1-1.5 MB/s, na mobilu casto i jenom 800 KB/s, takze jsem narazil.

Musim predne vyresit Nkovy router (mam doma jen stary tplink s Gckem) a pak se uvidi, jestli vubec ma smysl se honit za nejakou rychlosti, kdyz to stejne vzduchem nedostanu ven. Na firme mam vsechno po 1Gbps dratech, ale doma krom pracovniho NB zase vsechno wifi Dokud jsem to nepotreboval, neresil jsem vubec prenosovou rychlost, ale tohle byl fakt celkem sok, jak je na tom wifina v zarusene oblasti spatne.

Jinak k veci : EncFs se mi hodne libi, protoze si nemusim alokovat prostor pro tajna data - mohou se nafukovat. U cryptsetup si musim naformatovat partysnu / vytvorit LOOP kontejner o predem dane velikosti a pak se s tim spatne hybe. Urcite totiz, kvuli zatezi, kterou sifrovani generuje, chci mit data rozdelena na verejna / tajna. Na serveru to neresim, tam sifruju vsechno, ale toho Pi je mi az lito, kdyz si zapnu TOP

P.

[VK]

Není dobré oddělovat důležitá/šifrovaná data a nedůležitá/nešifrovaná. Šifrovaná by měla být všechna. Jednak je otravné je třídit a může se stát chyba, jednak ve větším množství šifrovaných dat se hůře hledají ta důležitá. Za to vytížení procesoru může hlavně EncFS, s cryptsetup by byla situace jiná. Já teď zrovna zkouším Corsair Padlock 2, který používá AES-256, a rychlost zápisu z /dev/null se pohybuje kolem 6MB/s. Sice nevím přesně, co je uvnitř, ale myslím, že to bude malé a nevýkonné, a těžko tam bude nějaký speciální šifrovací obvod.

[Jendа]

V lepším případě uvnitř bude hardwarová implementace AES, v tom horším třeba XOR nebo ROT13.

[Jendа]

AES s kratším klíčem není o moc rychlejší.

[VK]

Já to sice neměřil, ale také to tuším, proto jsem napsal "nebo jiné šifrování". Nevím ale, jaké jiné šifrování zvolit, aby bylo superrychlé (nenáročné na výkon), a přitom ještě relativně bezpečné?

[petrfm]

Jde o to, ze ja nepotrebuju, aby bylo bezpecne.. Jde o to, aby to proste stredne znaly clovek nedokazal rozkodovat. Proste aby nevzal disk, nepripojil linuxu a po mount se mu neukazaly data.

Prvni skupinu zajemcu odrazi uz to, ze ten disk nebude mit NTFS - ve win ho tak akorat naformatuji - pokud budou umet odstranit partysnu. Druhou skupinu znalejsich bych potreboval odrazit necim, jako je sifrovani, aby proste po mountu se ten disk tvaril jako poskozeny, nebo zasifrovany. Vubec nepotrebuju zadne symetricke sifry, jenom proste rychlost, jednoduchost a zamotanost

Zel to reseni se souborovym systemem v kontejneru nad NTFS jsem zavrhnul kvuli pomalemu NTFS na tom RPi - je to vykonove stejne narocne, jako sifrovat s AES.

[VK]

Já se pořád přimlouvám za ten cryptsetup + LUKS, a zkusit pár různých šifer, která bude nejrychlejší...

[petrfm]

A ja zase ne, i kdyz mam cryptsetup na serveru, tak tady je to svazujici. Neverim, ze by to bylo rychlejsi, nez EncFs a bude mne to svazovat velikosti partysny / kontejneru. Takhle mam na jednom disku verejne soubory i sifrovane, jen mam udelanou slozku s EncFs a sdilim to do samby - sdilim : sdilene a osobni. Pro praci jednoduche, jak facka, navic muzu libovolne ukladat do jedne, nebo druhe slozky az do kapacity disku.

Proto pro mne cryptsetup neni proste reseni. s EncFs delam 3MB / s , bez sifrovani 11MB/s. Ma to nekdo na RPi, aby mi rekl, jak je tam rychly cryptsetup, rekneme s AES?