Názory k článku EncFS: šifrování souborů jinak a bez problémů
-
karry (neregistrovaný)
Používám oba. ECryptFS na šifrování domovské složky a EncFS na práci, některé fotky a zálohy. Výkon jsem nikdy neměřil, s ecryptfs jsem ale již několikrát narazil na různé problémy s keyutils, kdy selhalo automatické načtení klíčů do jádra. Bez těch se k šifrovaným datům nedostanete... S EncFS jsem nikdy žádné problémy neměl, data navíc můžete rozšifrovat i na jiných platformách, jak píše článek.
-
A neprejte si vedet, co vam EcryptFS udela se souborem, kdyz pri jeho kopirovani do sifrovane slozky dojde misto na disku. Normalne se bude tvarit, jako ze se to zkopirovalo. Bude videt a asi mit i spravnou velikost. Ale nepujde precist. Clovek dostane nejakou podivnou hlasku a smytec. Nastroj na opravu neexistuje a je otazka, jestli by tam vubec bylo co opravovat. Mozna tam ani nejsou zadna data, ale to se tezko opravi, kdyz jedina funkcni operace nad souborem je delete.
-
Chvíli jsme EncFS používal, ale bohužel, vrátil jsem se k TrueCrypt. Odhalená adresářová struktura toho odhaluje příliš.
Z velikostí souborů a přístupových časů lze zjistit ledaco. I kdyby jste aktualizaci created a modified časů vypnuly (pane autore, jde to?) už jen fakt, že v daném adresáři přibývají soubory o lecčem vypovídá. Typické velikosti souborů leccos napoví, například, že se jedná o obrázky, mp3 nebo videa. Proti BSA, RIAA a zvědavé přítelkyni to není ideální ochrana.
Mimochodem, utilitku extcv jste u TC nezkoušleli? Měla by umět kontejner i FS na něm zvětšit. Ale snad pracuje jen s NTFS.
Co se týče cloud storage, vyzkoušel bych JGit (Java implementace Git) s nativní podporou Amazon S3 a s client-side šifrováním. Zabijete 3 mouchy jednou ranou! Inteligentní synchronizaci s lokálem, verzování a šifrování.
-
Pokud někdo kontejner pojmenuje "fotky_z_dovoleny.tc", pak to činí zcela vědomě. A možná klame. Navíc podobnou blbost (či podobně mást) je možné udělat třeba u názvu adresáře se šifrovaným obsahem nebo u názvu mountpointu.
Pokud bych celou strukturu před EncFS zabalil do archívu s nicneříkajícím názvem, pak už nemám moc výhod oproti TC. Naopak, možná by chyběl náhodný přístup.
-
Někdo nějaké další vlastní zkušenosti?
Docela by mě zajímalo, co to udělá, pokud bych do EncFS zálohoval mailserver (stovky tisíc malých souborů) pomocí rdiff-backup.
Moc se mi do tohoto (zatěžkávajícího) experimentu nechce investovat čas, proto se raději nejdřív ptám, jestli už to někdo nezkoušel :-) -
U EncFS nevim, ale muzu poskytnout zkusenost s eCryptfs. Na netbooku s Atomem pouhe zobrazeni obsahu sifrovaneho adresare s vetsim poctem souboru trva citelne dele, nez u nesifrovaneho adresare (treba desitky vterin versus par oamziku). Zatez CPU pritom silne vzroste - nacpe se do toho prakticky veskera volna kapacita. Cili pokud mate nadupany stroj se silnym CPU, ktere se zrovna flaka, dost mozna rozdil v rychlosti nebude velky, protoze eventuelne to bude drhnout na rychlosti disku a ne CPU. Ale i tak bych to se stovkami tisic souboru moc dobre nevidel. Zejmena pak u EncFS, ktere navic jede ve Fuse a je tedy jeste pomalejsi.
Dale pak treba rychlost kopirovani souboru do sifrovaneho adresare je temer o polovinu nizsi ve srovnani s kopirovanim do nesifrovaneho adresare na stejnem disku. Zatez CPU vzroste pri kopirovani do sifrovaneho adresare o cca 50 % ve srovnani se stavem pred zahajenim kopirovani. Je-li pouzit nesifrovany adresar, narust je tak 20 %. Cisla berte s rezervou, protoze hodne plavou a nevim, cim bych zjistil prumer.
-
S Atomem možná problém je. S i7 to jede celkem vpohodě :) Problém je snad jen při seeku na konec dlouhého souboru (např. u less).
Na druhou stranu, je otázka, co se šifruje. U relativně malých obrázků to nevadí, stejně se načítají celé. Zdrojáky - nevadí. Textové dokumenty, PDF, tabulky, ... - většinou nevadí. U videa a zvuku by to vadit mohlo. Ale pokud nejde o vlastní produkci ani o dětskou pornografii, nemuselo by to být potřeba šifrovat. Já takto šifruju jen část disku. Nešifruju to, co stáhnu, ale spíš něco, co sám vytvořím nebo obsahuje nějaké citlivé informace.
-
"Žádný z těchto projektů jsem nezkoušel, netuším v jakém jsou stavu."
Cryptkeeper funguje, ten druhy neznam. A Cryptkeeper se dost hodi, kdyz ma clovek hafo USB flashek. Akorat se musi nejak inteligentne nastavit volume label, aby clovek vedel, co je co.
Jinak doporucuji venovat pozornost parametru --reverse. Ten vytvori sifrovany obraz dat. Clovek ho pak muze rsyncnout na neduveryhodne uloziste a nemusi kvuli tomu mit data sifrovana u sebe na disku. Treba u sbirky fotek velikonocnich kralicku to je zbytecne, ale CIA do toho nic neni.
Jeste by bylo hezke, kdyby nekdo nekde vystoural nejaky FS, ktery by soubory naporcoval na bloky o velikosti urcite hodnoty nebo maximalne urcite hodnoty. Namontovalo by se to pres EncFS nebo obracene. Dalo by se tim obejit omezeni nekterych hloupych mrakovych sluzeb na nejakou dementne malou maximalni velikost souboru. BTW, dalo by se toho vyuzit i k pristupu k TrueCryptovemu kontajneru, takze CIA by se nedozvedela ani velikost vasich souboru. A pri zmene kusu kontajneru by se nemusel kopirovat cely, ale jen par bloku. Na vetsine mrakovych sluzeb nemaji rsync.
-
Tak taky přihodím.
Cryptkeeper v Ubuntu se zdá že nefunguje, protože se nevytvoří ikona v panelu. Ano, opět zafungoval Unity whitelist, takže třeba si tam po instalaci Cryptkeeper přidat.
Bug mají nahlášen už od dubna minulého roku: https://bugs.launchpad.net/ubuntu/+source/cryptkeeper/+bug/760800Dále je Unity special a to: CryptFolder-indicator
http://www.webupd8.org/2011/06/cryptfolder-indicator-ubuntu.html
Ten ale u mě letěl z disku hned, když odmítal vytvořit položku bez vyplněného hesla. Heslo si chci zadávat ručně. Tento indicator je služba pro automatické odemčení při přihlášení.A na androidu mám Cryptonite:
https://play.google.com/store/apps/details?id=csh.cryptonite
páč BoxCryptor je silně placený a Cryptonite podporuje FUSE.
PS.: Cryptonite obsahuje i Truecrypt, sice jen cmd verzi, ale obsahuje. -
Milan (neregistrovaný)
tak nevím, kdo, kde co ukradl... www.boxcryptor.com Protože toto se v nějakých verzích i prodává. Je to přitom kompatibilní.
-
dsdsdfdf (neregistrovaný)
to podle mě neexistuje, ale možná by to šlo sestavit příkaz rsync + openssl viz:
http://manpages.ubuntu.com/manpages/maverick/man1/rsyncrypto.1.html
-
ludolph (neregistrovaný)
Klient encfs pro KDE4: http://opendesktop.org/content/show.php?content=134003
-
rm (neregistrovaný)
Největší problém spatřuji v tom, že jde přesně zjistit jak soubor je veliký. Pokud mám velkou škálu souborů s kterými uživatel mohl přijít do styku, můžu je srovnat s velikostí těch co má zašifrované. K zjištění klíče u AES mi stačí znát šifrovaný obsah a výsledný obsah. Ano, přidává se tam ten 8 bajtový (64 bitů) šum, který situaci podstatně komplikuje. Snad je ten 8 bajtový šum dostatečně náhodný. Hmm, možná by mohl být i kapku delší (třeba jako klíč).
-
Mr. Zdeeck (neregistrovaný)
Používám na strojích jak dm/LUKS, tak EcryptFS a rozdíl výkonu je propastný. Nejde o vlastní šifrování souboru (tj. například kopírování), tam je to relativně jedno - samozřejmě je tam nějaký overhead naproti nekryptovaným datům, ale s tím se počítá a i obstarožní mašiny (P4@1.6) jsou použitelné.
Nicméně při použití EcryptFS je listování adresáře, pokud není nacachován, opravdu porod. Výkon procesoru vyletí nahoru a člověk čeká a čeká. Trošku jsem do problematiky zabředl a dle tohoto postu
https://bugzilla.kernel.org/show_bug.cgi?id=16157
je to věc, která se nikdy nezmění. Někteří radí přejít na EncFS (kterýžto však například v Ubuntu není defaultně), jenž má uložené metadata ve zvláštním souboru v každém adresáři a ne u každého fajlu v xattr jako EcryptFS. Až budu někdy upgradovat stroj, rozhodně se pokusím na něj přejít.
Jinak mne poněkud překvapilo, že lidé používají LUKS "přes soubor". Proč neudělat rovnou cryptovanou partition, čímž se odstraní další FS vrstva -> lepší výkon? Mám takto kryptovaných několik set giga na různých místech a nemůžu si stěžovat - je to naprosto transparentní věc a člověk má alespoň klidný spánek.
-
Harvie.CZ (neregistrovaný)
Jestli bude pokracovani clanku, tak bych doporucoval zminit pam_encfs, kterej umoznuje pripojovat encfs pri prihlaseni. bud tak, ze se nastavi stejny heslo jako na login (je rozumny pak nastavit silnejsi hashovaci algoritmus v shadow) nebo ze se pam zepta dvakrat (treba gdm a podobny aplikace se proste zeptaj na heslo 2x - nejdriv na login, pak na encfs).
A uplne nejvetsi frajerina by byla, kdyby slo nejak prihlasovat na zaklade zadani spravnyho hesla do encfs, bohuzel to neni momentalne uplne snadny, pac kontrolni kod v encfs ma spousty kolizi (chrani uzivatele pred preklepem, ale vycrackovat z nej klic je nemozny prave protoze je pomerne kratkej). CHtelo by to teda asi nejakou nadstavbu s heslem zasifrovanym v souboru v encfs, ktery se pak pouzije k loginu... nebo tak neco...
-
Pam_encfs používám, bohužel ve spojení s SD kartou je trochu problém po probuzení.
Jádro totiž SD kartě pokaždé přiřadí jiný identifikátor, takže se vždy musím přihlásit, jít do terminálu, přes sudo remountnout sd kartu a následně ručně připojit encfs. Takže po probuzení zadávám heslo třikrát :-(
Možná to půjde nějak zautomatizovat, ale zatím se mi to nepodařilo :-(
-
Lael Ophir (neregistrovaný)
Trocha srovnání s Windows. Od Windows 2000 obsahuje NTFS možnost zašifrovat libovolný soubor na disku prostým nastavením atributu, například ve Windows Exploreru. Lze to kombinovat i s kompresí. Soubor je zašifrován náhodným heslem, které je uloženo přímo v souboru. Toto heslo je zašifrované dalším heslem, které je uloženo zašifrované heslem uživatele/uživatelů. Lze také definovat recovery agenta (například říci že administrátor smí dešifrovat vše). Pokud někdo uživateli zresetuje heslo, šifrované soubory nelze použít, dokud uživatel nezmění heslo zpátky. Klíče mohou být v Active Directory, takže může uživatel šifrovat i na síti. Klíče lze exportovat a importovat, například z desktopu na notebook.
Od Windows Vista je možné použít BitLocker Drive Encryption, klidně v kombinaci s výše zmíněným EFS. Šifruje se celá partition (bez ohledu na FS), funguje na interní i externí média. Klíč lze uložit v TPM, lze také použít TPM + PIN, TPM + PIN + USB Key, TPM + USB Key, případně jen USB Key. BitLocker používá akcelerační instrukce AES-NI, pokud jsou na stroji k dispozici.
EFS i BitLocker lze ovládat pomocí Group Policy. Například lze ve firmě označit skupinu strojů (typicky přenosné stroje), na kterých se vynutí BitLocker. Případně vybrané skupině uživatelů vnutit šifrování dokumentů pomocí EFS, šifrování swap file apod.
