EncFS fornisce un filesystem crittografato nello spazio utente. Funziona senza permessi speciali e utilizza la libreria FUSE e il modulo del kernel Linux per fornire l'interfaccia del filesystem. È un filesystem pass-through, non un dispositivo a blocchi crittografato, il che significa che viene creato sopra un filesystem esistente. Questo tutorial mostra come utilizzare EncFS su Ubuntu 15.10 (Wiley Werewolf) per crittografare i tuoi dati.
1 Nota preliminare
Sto usando il nome utente falko sul mio sistema Ubuntu 15.10 in questo tutorial. Un controllo di sicurezza ha rivelato alcuni problemi nell'attuale implementazione di encfs, consulta l'avviso di sicurezza di seguito per decidere se il modo in cui desideri utilizzare encfs è interessato da questi problemi. Un'alternativa a encfs è ecryptfs (https://launchpad.net/ecryptfs) che tratterò in un altro tutorial.
Informazioni sulla sicurezza di Encfs
"Secondo un controllo di sicurezza di Taylor Hornby (Defuse Security), l'attuale implementazione di Encfs è vulnerabile o potenzialmente vulnerabile a più tipi di attacchi. Ad esempio, un utente malintenzionato con accesso in lettura/scrittura ai dati crittografati potrebbe ridurre la decrittazione complessità per i dati crittografati successivamente senza che questo venga notato da un utente legittimo o potrebbe utilizzare l'analisi dei tempi per dedurre informazioni. Fino a quando questi problemi non saranno risolti, encfs non dovrebbe essere considerato un rifugio sicuro per i dati sensibili in scenari in cui tali attacchi sono possibili."
2 Installazione di EncFS
EncFS può essere installato come segue (abbiamo bisogno dei privilegi di root, quindi utilizziamo sudo):
sudo apt-get install encfs
Ora dovresti dare un'occhiata alla pagina man di EncFS per familiarizzare con le sue opzioni:
man encfs
3 Utilizzo di EncFS
Ora creerò le directory crittografate e decrittografate nella mia home directory:
mkdir -p ~/encrypted
mkdir -p ~/decrypted
La directory decrittografata funge da punto di montaggio per la directory crittografata. Per montare da ~/encrypted a ~/decrypted, esegui semplicemente:
encfs ~/encrypted ~/decrypted
Se esegui questo comando per la prima volta, viene avviata l'installazione di EncFS e devi definire una password per il volume crittografato:
[email protected]:~$ encfs ~/encrypted ~/decrypted
Creating new encrypted volume.
Please choose from one of the following options:
enter "x" for expert configuration mode,
enter "p" for pre-configured paranoia mode,
anything else, or an empty line will select standard mode.
?> <-- p
Paranoia configuration selected.
Configuration finished. The filesystem to be created has
the following properties:
Filesystem cipher: "ssl/aes", version 3:0:2
Filename encoding: "nameio/block", version 4:0:2
Key Size: 256 bits
Block Size: 1024 bytes, including 8 byte MAC header
Each file contains 8 byte header with unique IV data.
Filenames encoded using IV chaining mode.
File data IV is chained to filename IV.
File holes passed through to ciphertext.
-------------------------- WARNING --------------------------
The external initialization-vector chaining option has been
enabled. This option disables the use of hard links on the
filesystem. Without hard links, some programs may not work.
The programs 'mutt' and 'procmail' are known to fail. For
more information, please see the encfs mailing list.
If you would like to choose another configuration setting,
please press CTRL-C now to abort and start over.
Now you will need to enter a password for your filesystem.
You will need to remember this password, as there is absolutely
no recovery mechanism. However, the password can be changed
later using encfsctl.
New Encfs Password: <-- Enter a secure password here
Verify Encfs Password: <-- Enter the secure password a second time
Assicurati di ricordare la password perché non c'è modo di recuperare i tuoi dati crittografati se dimentichi la password!
Ora dovresti trovare il volume EncFS negli output di
mount
[email protected]:~$ mount
sysfs on /sys type sysfs (rw,nosuid,nodev,noexec,relatime)
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)
udev on /dev type devtmpfs (rw,nosuid,relatime,size=1006420k,nr_inodes=251605,mode=755)
devpts on /dev/pts type devpts (rw,nosuid,noexec,relatime,gid=5,mode=620,ptmxmode=000)
tmpfs on /run type tmpfs (rw,nosuid,noexec,relatime,size=204480k,mode=755)
/dev/mapper/server1--vg-root on / type ext4 (rw,relatime,errors=remount-ro,data=ordered)
securityfs on /sys/kernel/security type securityfs (rw,nosuid,nodev,noexec,relatime)
tmpfs on /dev/shm type tmpfs (rw,nosuid,nodev)
tmpfs on /run/lock type tmpfs (rw,nosuid,nodev,noexec,relatime,size=5120k)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,mode=755)
cgroup on /sys/fs/cgroup/systemd type cgroup (rw,nosuid,nodev,noexec,relatime,xattr,release_agent=/lib/systemd/systemd-cgroups-agent,name=systemd)
pstore on /sys/fs/pstore type pstore (rw,nosuid,nodev,noexec,relatime)
cgroup on /sys/fs/cgroup/net_cls,net_prio type cgroup (rw,nosuid,nodev,noexec,relatime,net_cls,net_prio)
cgroup on /sys/fs/cgroup/devices type cgroup (rw,nosuid,nodev,noexec,relatime,devices)
cgroup on /sys/fs/cgroup/cpuset type cgroup (rw,nosuid,nodev,noexec,relatime,cpuset,clone_children)
cgroup on /sys/fs/cgroup/blkio type cgroup (rw,nosuid,nodev,noexec,relatime,blkio)
cgroup on /sys/fs/cgroup/cpu,cpuacct type cgroup (rw,nosuid,nodev,noexec,relatime,cpu,cpuacct)
cgroup on /sys/fs/cgroup/memory type cgroup (rw,nosuid,nodev,noexec,relatime,memory)
cgroup on /sys/fs/cgroup/hugetlb type cgroup (rw,nosuid,nodev,noexec,relatime,hugetlb)
cgroup on /sys/fs/cgroup/perf_event type cgroup (rw,nosuid,nodev,noexec,relatime,perf_event)
cgroup on /sys/fs/cgroup/freezer type cgroup (rw,nosuid,nodev,noexec,relatime,freezer)
systemd-1 on /proc/sys/fs/binfmt_misc type autofs (rw,relatime,fd=21,pgrp=1,timeout=0,minproto=5,maxproto=5,direct)
mqueue on /dev/mqueue type mqueue (rw,relatime)
debugfs on /sys/kernel/debug type debugfs (rw,relatime)
hugetlbfs on /dev/hugepages type hugetlbfs (rw,relatime)
fusectl on /sys/fs/fuse/connections type fusectl (rw,relatime)
/dev/sda1 on /boot type ext2 (rw,relatime)
tmpfs on /run/user/1000 type tmpfs (rw,nosuid,nodev,relatime,size=204480k,mode=700,uid=1000,gid=1000)
encfs on /home/falko/decrypted type fuse.encfs (rw,nosuid,nodev,relatime,user_id=1001,group_id=1001)
e
df -h
[email protected]:~$ df -h
Filesystem Size Used Avail Use% Mounted on
udev 983M 0 983M 0% /dev
tmpfs 200M 4.9M 195M 3% /run
/dev/dm-0 28G 1.7G 25G 7% /
tmpfs 999M 0 999M 0% /dev/shm
tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs 999M 0 999M 0% /sys/fs/cgroup
/dev/sda1 236M 51M 173M 23% /boot
tmpfs 200M 0 200M 0% /run/user/1000
encfs 28G 1.7G 25G 7% /home/falko/decrypted
Per salvare i tuoi dati in forma crittografata, inserisci i tuoi dati nella directory decifrata, proprio come faresti con una directory normale:
cd ~/decrypted
echo "hello foo" > foo
echo "hello bar" > bar
ln -s foo foo2
Se controlli il contenuto della directory, vedrai che puoi vederlo in forma non crittografata...
ls -l
[email protected]top:~/decrypted$ ls -l
total 8
-rw-rw-r-- 1 falko falko 10 Nov 10 14:57 bar
-rw-rw-r-- 1 falko falko 10 Nov 10 14:57 foo
lrwxrwxrwx 1 falko falko 3 Nov 10 14:57 foo2 -> foo
... mentre nella directory crittografata, è crittografata:
cd ~/encrypted
ls -l
[email protected]:~/encrypted$ ls -l
total 8
lrwxrwxrwx 1 falko falko 24 Nov 10 14:57 gIKlbEtIpTfiGOCy,wKFpMFd -> nZgFI3s62v5LtaHOu-V4lUSy
-rw-rw-r-- 1 falko falko 26 Nov 10 14:57 mEqwt,ssEJhGYpN8HfJMoVxk
-rw-rw-r-- 1 falko falko 26 Nov 10 14:57 nZgFI3s62v5LtaHOu-V4lUSy
Per smontare il volume crittografato, esegui:
cd
fusermount -u ~/decrypted
Controlla le uscite di...
mount
... e...
df -h
... e vedrai che il volume EncFS non è più elencato.
Per montarlo di nuovo, esegui
encfs ~/encrypted ~/decrypted
Ti verrà richiesta la password che hai definito in precedenza:
[email protetta]:~$ encfs ~/encrypted ~/decrypted
Password EncFS:<-- yoursecretpassword
Se specifichi la password corretta, questo monterà la directory ~/encrypted su ~/decrypted da dove potrai accedere ai tuoi dati crittografati in forma non crittografata. Se dimentichi la password, i tuoi dati crittografati andranno persi!
Se vuoi cambiare la password, puoi farlo con il
encfsctl passwd ~/encrypted
comando.
[email protected]:~$ encfsctl passwd ~/encrypted
Inserisci la password Encfs corrente
Password Encfs:<-- yoursecretpassword
Inserisci la nuova password Encfs
Nuova password Encfs:<-- newsecretpassword
Verifica password Encfs:<-- newsecretpassword
Chiave volume aggiornata correttamente.
4 link
- EncFS:http://www.arg0.net/encfs
- Ubuntu:http://www.ubuntu.com/