EncFS stellt ein verschlüsseltes Dateisystem im User-Space bereit. Es wird ohne besondere Berechtigungen ausgeführt und verwendet die FUSE-Bibliothek und das Linux-Kernelmodul, um die Dateisystemschnittstelle bereitzustellen. Es ist ein Pass-Through-Dateisystem, kein verschlüsseltes Blockgerät, was bedeutet, dass es auf einem vorhandenen Dateisystem erstellt wird. Dieses Tutorial zeigt, wie Sie EncFS auf Ubuntu 15.10 (Wiley Werewolf) verwenden können, um Ihre Daten zu verschlüsseln.
1 Vorbemerkung
Ich verwende den Benutzernamen falko auf meinem Ubuntu 15.10-System in diesem Tutorial. Ein Sicherheitsaudit hat einige Probleme in der aktuellen Implementierung von encfs ergeben. Bitte lesen Sie die Sicherheitswarnung unten, um zu entscheiden, ob die Art und Weise, wie Sie encfs verwenden möchten, von diesen Problemen betroffen ist. Eine Alternative zu encfs ist ecryptfs (https://launchpad.net/ecryptfs), das ich in einem anderen Tutorial behandeln werde.
Encfs-Sicherheitsinformationen
"Laut einer Sicherheitsprüfung von Taylor Hornby (Defuse Security) ist die aktuelle Implementierung von Encfs anfällig oder potenziell anfällig für mehrere Arten von Angriffen. Beispielsweise könnte ein Angreifer mit Lese-/Schreibzugriff auf verschlüsselte Daten die Entschlüsselung beeinträchtigen Komplexität für anschließend verschlüsselte Daten, ohne dass dies von einem legitimen Benutzer bemerkt wird, oder die Zeitanalyse verwenden, um Informationen abzuleiten. Bis diese Probleme gelöst sind, encfs sollte in Szenarien, in denen solche Angriffe möglich sind, nicht als sicheres Zuhause für sensible Daten betrachtet werden."
2 Installation von EncFS
EncFS kann wie folgt installiert werden (wir benötigen Root-Rechte, daher verwenden wir sudo):
sudo apt-get install encfs
Sie sollten jetzt einen Blick auf die Manpage von EncFS werfen, um sich mit den Optionen vertraut zu machen:
man encfs
3 Verwendung von EncFS
Ich werde nun die Verzeichnisse verschlüsselt und entschlüsselt in meinem Home-Verzeichnis anlegen:
mkdir -p ~/encrypted
mkdir -p ~/decrypted
Das entschlüsselte Verzeichnis dient als Einhängepunkt für das verschlüsselte Verzeichnis. Um ~/encrypted nach ~/decrypted zu mounten, führen Sie einfach Folgendes aus:
encfs ~/encrypted ~/decrypted
Wenn Sie diesen Befehl zum ersten Mal ausführen, wird das EncFS-Setup gestartet, und Sie müssen ein Kennwort für das verschlüsselte Volume definieren:
[email protected]:~$ encfs ~/encrypted ~/decrypted
Creating new encrypted volume.
Please choose from one of the following options:
enter "x" for expert configuration mode,
enter "p" for pre-configured paranoia mode,
anything else, or an empty line will select standard mode.
?> <-- p
Paranoia configuration selected.
Configuration finished. The filesystem to be created has
the following properties:
Filesystem cipher: "ssl/aes", version 3:0:2
Filename encoding: "nameio/block", version 4:0:2
Key Size: 256 bits
Block Size: 1024 bytes, including 8 byte MAC header
Each file contains 8 byte header with unique IV data.
Filenames encoded using IV chaining mode.
File data IV is chained to filename IV.
File holes passed through to ciphertext.
-------------------------- WARNING --------------------------
The external initialization-vector chaining option has been
enabled. This option disables the use of hard links on the
filesystem. Without hard links, some programs may not work.
The programs 'mutt' and 'procmail' are known to fail. For
more information, please see the encfs mailing list.
If you would like to choose another configuration setting,
please press CTRL-C now to abort and start over.
Now you will need to enter a password for your filesystem.geändert werden
You will need to remember this password, as there is absolutely
no recovery mechanism. However, the password can be changed
later using encfsctl.
New Encfs Password: <-- Enter a secure password here
Verify Encfs Password: <-- Enter the secure password a second time
Denken Sie daran, sich das Passwort zu merken, da es keine Möglichkeit gibt, Ihre verschlüsselten Daten wiederherzustellen, wenn Sie das Passwort vergessen!
Sie sollten nun das EncFS-Volume in den Ausgaben von
findenmount
[email protected]:~$ mount
sysfs on /sys type sysfs (rw,nosuid,nodev,noexec,relatime)
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)
udev on /dev type devtmpfs (rw,nosuid,relatime,size=1006420k,nr_inodes=251605,mode=755)
devpts on /dev/pts type devpts (rw,nosuid,noexec,relatime,gid=5,mode=620,ptmxmode=000)
tmpfs on /run type tmpfs (rw,nosuid,noexec,relatime,size=204480k,mode=755)
/dev/mapper/server1--vg-root on / type ext4 (rw,relatime,errors=remount-ro,data=ordered)
securityfs on /sys/kernel/security type securityfs (rw,nosuid,nodev,noexec,relatime)
tmpfs on /dev/shm type tmpfs (rw,nosuid,nodev)
tmpfs on /run/lock type tmpfs (rw,nosuid,nodev,noexec,relatime,size=5120k)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,mode=755)
cgroup on /sys/fs/cgroup/systemd type cgroup (rw,nosuid,nodev,noexec,relatime,xattr,release_agent=/lib/systemd/systemd-cgroups-agent,name=systemd)
pstore on /sys/fs/pstore type pstore (rw,nosuid,nodev,noexec,relatime)
cgroup on /sys/fs/cgroup/net_cls,net_prio type cgroup (rw,nosuid,nodev,noexec,relatime,net_cls,net_prio)
cgroup on /sys/fs/cgroup/devices type cgroup (rw,nosuid,nodev,noexec,relatime,devices)
cgroup on /sys/fs/cgroup/cpuset type cgroup (rw,nosuid,nodev,noexec,relatime,cpuset,clone_children)
cgroup on /sys/fs/cgroup/blkio type cgroup (rw,nosuid,nodev,noexec,relatime,blkio)
cgroup on /sys/fs/cgroup/cpu,cpuacct type cgroup (rw,nosuid,nodev,noexec,relatime,cpu,cpuacct)
cgroup on /sys/fs/cgroup/memory type cgroup (rw,nosuid,nodev,noexec,relatime,memory)
cgroup on /sys/fs/cgroup/hugetlb type cgroup (rw,nosuid,nodev,noexec,relatime,hugetlb)
cgroup on /sys/fs/cgroup/perf_event type cgroup (rw,nosuid,nodev,noexec,relatime,perf_event)
cgroup on /sys/fs/cgroup/freezer type cgroup (rw,nosuid,nodev,noexec,relatime,freezer)
systemd-1 on /proc/sys/fs/binfmt_misc type autofs (rw,relatime,fd=21,pgrp=1,timeout=0,minproto=5,maxproto=5,direct)
mqueue on /dev/mqueue type mqueue (rw,relatime)
debugfs on /sys/kernel/debug type debugfs (rw,relatime)
hugetlbfs on /dev/hugepages type hugetlbfs (rw,relatime)
fusectl on /sys/fs/fuse/connections type fusectl (rw,relatime)
/dev/sda1 on /boot type ext2 (rw,relatime)
tmpfs on /run/user/1000 type tmpfs (rw,nosuid,nodev,relatime,size=204480k,mode=700,uid=1000,gid=1000)
encfs on /home/falko/decrypted type fuse.encfs (rw,nosuid,nodev,relatime,user_id=1001,group_id=1001)
und
df -h
[email protected]:~$ df -h
Filesystem Size Used Avail Use% Mounted on
udev 983M 0 983M 0% /dev
tmpfs 200M 4.9M 195M 3% /run
/dev/dm-0 28G 1.7G 25G 7% /
tmpfs 999M 0 999M 0% /dev/shm
tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs 999M 0 999M 0% /sys/fs/cgroup
/dev/sda1 236M 51M 173M 23% /boot
tmpfs 200M 0 200M 0% /run/user/1000
encfs 28G 1.7G 25G 7% /home/falko/decrypted
Um Ihre Daten in verschlüsselter Form zu speichern, legen Sie Ihre Daten in das entschlüsselte Verzeichnis, so wie Sie es mit einem normalen Verzeichnis tun würden:
cd ~/decrypted
echo "hello foo" > foo
echo "hello bar" > bar
ln -s foo foo2
Wenn Sie den Inhalt des Verzeichnisses überprüfen, werden Sie sehen, dass Sie es in unverschlüsselter Form sehen können...
ls -l
[email protected]top:~/decrypted$ ls -l
total 8
-rw-rw-r-- 1 falko falko 10 Nov 10 14:57 bar
-rw-rw-r-- 1 falko falko 10 Nov 10 14:57 foo
lrwxrwxrwx 1 falko falko 3 Nov 10 14:57 foo2 -> foo
... solange es sich im verschlüsselten Verzeichnis befindet, ist es verschlüsselt:
cd ~/encrypted
ls -l
[email protected]:~/encrypted$ ls -l
total 8
lrwxrwxrwx 1 falko falko 24 Nov 10 14:57 gIKlbEtIpTfiGOCy,wKFpMFd -> nZgFI3s62v5LtaHOu-V4lUSy
-rw-rw-r-- 1 falko falko 26 Nov 10 14:57 mEqwt,ssEJhGYpN8HfJMoVxk
-rw-rw-r-- 1 falko falko 26 Nov 10 14:57 nZgFI3s62v5LtaHOu-V4lUSy
Um das verschlüsselte Volume zu unmounten, führen Sie Folgendes aus:
cd
fusermount -u ~/decrypted
Überprüfen Sie die Ausgaben von...
mount
... und ...
df -h
... und Sie werden sehen, dass das EncFS-Volume nicht mehr aufgeführt ist.
Um es erneut zu mounten, führen Sie
ausencfs ~/encrypted ~/decrypted
Sie werden nach dem zuvor festgelegten Passwort gefragt:
[email protected]:~$ encfs ~/encrypted ~/decrypted
EncFS-Passwort:<-- Ihr geheimes Passwort
Wenn Sie das richtige Passwort angeben, wird das Verzeichnis ~/encrypted nach ~/decrypted gemountet, von wo aus Sie unverschlüsselt auf Ihre verschlüsselten Daten zugreifen können. Wenn Sie das Passwort vergessen, sind Ihre verschlüsselten Daten verloren!
Wenn Sie das Passwort ändern möchten, können Sie dies mit dem
tunencfsctl passwd ~/encrypted
Befehl.
[email protected]:~$ encfsctl passwd ~/encrypted
Aktuelles Encfs-Passwort eingeben
EncFS-Passwort:<-- Ihr geheimes Passwort
Neues Encfs-Passwort eingeben
Neues Encfs-Passwort:<-- newsecretpassword
Encfs-Passwort bestätigen:<-- newsecretpassword
Lautstärkeschlüssel erfolgreich aktualisiert.
4 Links
- EncFS:http://www.arg0.net/encfs
- Ubuntu:http://www.ubuntu.com/