Dotaz: Co použít na šifrování souborů?

[pavele]

Pro šifrování celého diskového oddílu (disku) v linuxu se používá LUKS nebo VeraCrypt.

Co použít pro šifrování jednotlivých souborů?

- EncFS se nedoporučuje, není vyvíjen od roku 2018, na githubu ho začali tento rok portovat na rust, to znamená použitelnost za pár let, než se to odladí.

- Gocryptfs by měl být nástupce za EncFS, zatím je podporovaný, nešifruje adresářovou strukturu a velikost souborů.

- CryFS byl můj favorit, než ukončili vývoj a začali ho přepisovat do rustu, to znamená použitelnost za pár let, než se to odladí.

- ECryptfs v kernelu začal být po letech znovu vyvíjen, výhoda je dlouhodobá podpora v kernelu, nešifruje adresářovou strukturu a velikost souborů a metadata (datum vytvoření souboru atd. ...).

Co používáte vy?

Odpovědi

[Max]

Používám LUKS, případně použítvám formát souborů, jejichž aplikace je umí šifrovat (chránit heslem).
Pokud se nad daty nepracuje nějak běžně, tak je možné je dát ještě do zaheslovaného archivu.
Zdar Max

[jejda]

Na zašifrování jednoho souboru ti stačí obyčejný openssl.

openssl enc -aes-256-cbc -iter 10000 -salt -in soubor -out soubor.enc

S přepínačem -d se to rozšifruje zpátky.

openssl enc -d -aes-256-cbc -iter 10000 -in soubor.enc -out soubor

Dají se použít aji klíče jestli se ti nechce datlovat heslo. Když bys chtěl ale zašifrovat celý adresář, bude potřeba to první slepit do jednoho souboru. Třeba tarem.

[rastos]

gpg

[radek]

No, gpg nema zatim podporu kvatovych klicu, takze jedine symmetricky jako AES256.

Mezi LUKS pro cely disk a GPG na soubory je takovy zajimavy kompromis Gocryptfs pro slozky.

[Stevo]

age

[pavele]

age neumí zašifrovat adresář, musí se to řešit přes tar, což je nepohodlné. Ale vypadá to na vyvíjený a jednoduchý program, verze 1.3 by měla být odolná proti kvantovým počítačům snad.

[diffie]

Doporučuju pročíst si gpg.fail. Kdoví, jak moc jde GPG důvěřovat, bez ohledu na to, jestli dané zranitelnosti jsou opravené (jsou tam další podobné? kdo ví…) – ale pro některé účely (nejčastěji šifrování v --symmetric módu) mi GPG postačuje.

[Peter Golis]

A čo má byť účel, transparentná dekrypcia pre pohodlný prístup ku dešifrovaným dátam alebo bezpečný prenos pomocou nezabezpečeného kanálu či nezabezpečeného diskového média?

Do ankety si zabudol pridať napríklad enkrypciu priamo v NextGEN FS.

[pavele]

A čo má byť účel, transparentná dekrypcia pre pohodlný prístup ku dešifrovaným dátam alebo bezpečný prenos pomocou nezabezpečeného kanálu či nezabezpečeného diskového média?

 

Do ankety si zabudol pridať napríklad enkrypciu priamo v NextGEN FS.

Pohodlný prístup ku dešifrovaným dátam.

Moc nevěřím ukládat data do cloudu, protože dnes bezpečný algoritmus šifrování může být zítra nebo za měsíc bez problémů rozlousknutý, zvláště dnes, v době kvantových počítačů.

Prostě pokud mi někdo ukradne PC/notebook v zapnutém stavu, tak LUKS bude k ničemu.

[jejda]

A ten počítač musí nutně pracovat s citlivýma datama v době tvojí fyzické nepřítomnosti? Jestli ne tak vypni automount a udělej si skript který zavoláš pokaždé když jdeš afk a který ti odpojí šifrovaný oddíl, zamkne obrazovku a klávesnicu. Dalo by se to ještě pojistit, že se ten skript spustí automaticky když například deset minut nepřijde z klávesnice nebo myši žádný vstup.

[pavele]

A ten počítač musí nutně pracovat s citlivýma datama v době tvojí fyzické nepřítomnosti? Jestli ne tak vypni automount a udělej si skript který zavoláš pokaždé když jdeš afk a který ti odpojí šifrovaný oddíl, zamkne obrazovku a klávesnicu. Dalo by se to ještě pojistit, že se ten skript spustí automaticky když například deset minut nepřijde z klávesnice nebo myši žádný vstup.

Asi to tak udělám, při zaklapnutí víka spustím skript přes systemd, co mi automaticky odpojí šifrovaný adresář nebo oddíl.

Pro mě není problém uzavřít program(y), co pracují v šifrovaném adresáři.

Problém je odpojení, protože co kdyby jsem tam ještě něco chtěl dělat...

[Peter Golis]

Prostě pokud mi někdo ukradne PC/notebook v zapnutém stavu, tak LUKS bude k ničemu.

Ak si nezamykáš obrazovku, tak ti je akékoľvek šifrovanie na nič.

Kedysi bolo možné automaticky zamknúť obrazovku ak sa nejaké BT zariadenie stratilo z dosahu počítača. Obvykle to bol mobil s BT alebo prívesok s NFC. Proste ak si sa vzdialil od počítača, tak to urobilo čo bolo potrebné.

Ale to bolo pred veľa rokmi neviem aká je teraz situácia medzi BFU. Niekde som počul že to ľudia chceli používať na automatické odomykanie a nie na zamykanie, a tak sa od toho upustilo.

[Kit]

To jsem používal před asi 10 lety a bylo to docela praktické. Dnes to nepotřebuji.

[Peter Golis]

Pravda, ty si odomkneš obrazovku cez Hello.

[Kit]

Asi máš na mysli Howdy.

[pavele]

To jsem používal před asi 10 lety a bylo to docela praktické. Dnes to nepotřebuji.

A jak to řešíš?

[Kit]

Normálně, přes heslo.

[pavele]

Tak třeba KeePasXC se po suspend to ram automaticky uzamkne, odemknout se dá jednoduše třeba přes Yubikey nebo flashdisk se souborem s klíčem. Líbilo by se mi něco podobného pro zašifrovaný adresář.

[Peter Golis]

A teraz prezraď čo by sa vtedy malo stať s programami ktoré majú otvorené súbory zo zašifrovaného prípojného bodu. Potom prezraď prečo nemáš uzamknutie obrazovky pri suspend to ram keď to heslo je vo východzom stave zapnuté.

[aaaaaaaaaa]

tak porad je tam problem s cold boot attack, pravda jeho verzi, kdy se pocitac jenom otoci lze resit heslem do biosu a realne chalzeni ramek lze resit jejich sifrovanim (a zakoupenim hw, co umi sifrovat ramet), ale pokud clovek nema ten spravyn hw, tak nikdy neni 100% chranen.

[Peter Golis]

Skúsim preformulovať tú jednoduchú otázku:

Čo by sa podľa teba mohlo stať s programami ktoré majú otvorené súbory na (šifrovanom) disku, ktorý im vytrhneš za jazdy?

Vymýšľaš veľmi abstraktné teórie, ale heslo pri zaklapnutí NB si si vypol aby si znížil ochranu. Toto je veľmi zvláštny koncept (ne)bezpečnosti na ktorý nie je čo poradiť.

[diffie]

Dřív jsem používala vestavěné šifrování ve filesystému ZFS. Jde šifrovat samostatné subvolumes a velmi příjemně se konfiguruje. Pokud ale ZFS nepoužíváte, přechod na ZFS jen kvůli šifrování by měl asi moc velký overhead…

Teď už šifrování jednotlivých souborů nedělám (kromě například GPG) – kvůli tomu, že umřelo encfs.

Na dočasné věci (například jako scratch space nad velkým diskem přes NFS) používám většinou velký soubor zabalený do loopback device a dm-crypt (jde použít i LUKS).