GoCryptFS: Unterschied zwischen den Versionen

Aktuelle Version vom 12. November 2024, 18:40 Uhr

GoCryptFS - ein FUSE-Dateisystem zur Kryptografie auf Dateiebene

Beschreibung

Alternative zu EncFS, eCryptfs
Linux, OS X, Windows

Hintergründe

Die Kryptografie des Dateiinhalts erfolgt im Forward Mode mit AES-GCM und im Reverse Mode mit AES-SIV-512.

Der hierfür benötigte Schlüssel wird mit dem Scrypt Algorithmus aus dem Masterkey abgeleitet.
Die Dateinamen werden im Encrypt-Mix-Encrypt – Verfahren verschlüsselt.
Jede Kryptografie bietet mögliche Angriffswege.
Daher wird die Sicherheit der Kryptografie grundsätzlich erhöht, wenn man Daten mit verschiedenen Programmen geschichtet verschlüsselt.
Aus den von GoCryptfs verschlüsselten Dateien kann ein Angreifer erkennen, wie viele Dateien man hat, und welche Größe diese haben.
Daraus könnten Rückschlüsse auf den Inhalt der Dateien möglich sein.
Dem kann man entgegenwirken, indem man die Dateien vor der Kryptografie zerlegt oder in Container zusammenfasst.

Forward und Reverse Mode

Im Forward Mode werden die Daten verschlüsselt gespeichert, der entschlüsselte Lese- und Schreibzugriff erfolgt über das FUSE-Dateisystem.
- Dieser Betriebsmodus könnte beispielsweise eingesetzt werden, um die Daten in der Cloud zu speichern und auf diese von verschiedenen Geräten zuzugreifen.
Der Reverse Modus dient dazu Dateien, die unverschlüsselt (lokal) gespeichert sind, zur Datensicherung zu verschlüsseln.
- Die verschlüsselten Dateien bestehen nur, solange das FUSE-Dateisystem eingehängt ist.
- Aus dem FUSE-Dateisystem können die verschlüsselten Dateien manuell oder mit einem Datensicherungsprogramm (z. B. rsync) in einen dauerhaften Speicher kopiert werden.

Forward Mode

Die Dateien werden im Verzeichnis CIPHERDIR verschlüsselt gespeichert.

Der Inhalt von CIPHERDIR wird im Verzeichnis MOUNTPOINT über das FUSE Dateisystem entschlüsselt zum lesen und schreiben angezeigt, wenn MOUNTPOINT eingehängt ist.

Reverse Mode

Im Reverse Mode wird der Inhalt von CIPHERDIR über das FUSE-Dateisystem „read-only“ angezeigt, wenn dieses eingehängt ist.

Installation

sudo apt install gocryptfs

Aufruf

Optionen

Common Options (use -hh to show all)

Option	Beschreibung
-aessiv	AES-SIV-Kryptografie verwenden (mit -init)
-allow_other	Anderen Benutzern den Zugriff auf die Halterung erlauben
-i, -idle	Automatisches Aushängen nach festgelegter Leerlaufzeit
-config	Benutzerdefinierter Pfad zur Konfigurationsdatei
-ctlsock	Steuersteckdose am Standort erstellen
-extpass	Externes Programm aufrufen, um nach dem Passwort zu fragen
-fg	Bleib im Vordergrund
-fsck	Dateisystemintegrität prüfen
-fusedebug	FUSE-Aufrufe debuggen
-h, -help	Dieser kurze Hilfetext
-hh	Langer Hilfetext mit allen Optionen
-init	Verschlüsseltes Verzeichnis initialisieren
-info	Informationen zum verschlüsselten Verzeichnis anzeigen
-masterkey	Mount mit explizitem Hauptschlüssel statt Passwort
-nonempty	Mounten über nicht leeres Verzeichnis zulassen
-nosyslog	Leiten Sie Protokollnachrichten nicht an syslog um
-passfile	Passwort aus Datei lesen
-passwd	Kennwort ändern
-plaintextnames	Dateinamen nicht verschlüsseln (mit -init)
-q, -quiet	Informationsnachrichten stummschalten
-reverse	Rückwärtsmodus aktivieren
-ro	Schreibgeschützt einbinden
-speed	Führen Sie einen Krypto-Geschwindigkeitstest durch
-version	Print version information
--	Optionsparsing stoppen

Parameter

Umgebungsvariablen

Exit-Status

Dateien

Anwendung

Anhang

Siehe auch

ECryptfs

Dokumentation

Man-Page

Info-Pages

Links

Projekt

Projektseite: https://nuetzlich.net/gocryptfs/
Quellcode und Dokumentation: https://github.com/rfjakob/gocryptfs

Weblinks

AES-GCM: https://eprint.iacr.org/2004/193.pdf
AES-SIV-512: https://tools.ietf.org/html/rfc5297
Scrypt Schlüsselableitung: https://tools.ietf.org/html/rfc7914
Encrypt-Mix-Encrypt : https://github.com/rfjakob/eme
Sicherheitsgutachten: https://defuse.ca/audits/gocryptfs.htm
Version für Windows: https://github.com/bailey27/cppcryptfs

@@ Zeile 1: / Zeile 1: @@
-'''GoCryptFS''' ist ein [[Linux:Storage:FUSE | FUSE]]-Dateisystem zur Verschlüsselung auf Dateiebene
+'''GoCryptFS''' - ein [[FUSE]]-Dateisystem zur Kryptografie auf Dateiebene
-= Beschreibung =
+== Beschreibung ==
-* Alternative zu
+* Alternative zu EncFS, eCryptfs
-** EncFS
+*  Linux, OS X, Windows
-** eCryptfs
-* Betriebssysteme
-** Linux
-** OS X
-** Windows
-= Installation =
+=== Hintergründe ===
- # apt install gocryptfs
+Die Kryptografie des Dateiinhalts erfolgt im Forward Mode mit AES-GCM und im Reverse Mode mit AES-SIV-512.
-= Syntax =
- gocryptfs -init|-passwd|-info [OPTIONS] CIPHERDIR
- gocryptfs [OPTIONS] CIPHERDIR MOUNTPOINT
-= Verzeichnis verschlüsseln =
-== Verzeichnisse anlegen ==
- $ mkdir ~/CIPHERDIR ~/MOUNTPOINT ~/.config/gocryptfs
-== Initialisierung ==
-Erstellung der Konfigurationsdatei und der Datei '''gocryptfs.diriv''' (verschlüsselte Verzeichnisstruktur)
-<syntaxhighlight lang="bash">
-gocryptfs -init -config ~/.config/gocryptfs/KONFDATEI.conf ~/CIPHERDIR
-</syntaxhighlight>
-== Verzeichnis einhängen ==
-<syntaxhighlight lang="bash">
- gocryptfs -config ~/.config/gocryptfs/KONFDATEI.conf ~/CIPHERDIR ~/MOUNTPOINT
-</syntaxhighlight>
-== Verzeichnis nutzen ==
-== Verzeichnis aushängen ==
-<syntaxhighlight lang="bash">
- fusermount -u ~/MOUNTPOINT
-</syntaxhighlight>
-= Passwörter =
-Zum Entschlüsseln der Dateien ist die GoCryptFS-Konfigurationsdatei und das Passwort erforderlich.
-* Ist ein Angreifer im Besitz der GoCryptFS-Konfigurationsdatei, könnte er, z.B. durch Ausprobieren, das Passwort herausfinden und die Dateien entschlüsseln.
-* Ohne Angabe der Option -config speichert GoCryptFS die Konfigurationsdatei unter dem Namen gocryptfs.conf in das Verzeichnis mit den verschlüsselten Dateien.
-* Werden die verschlüsselten Dateien in einer Cloud oder auf Datenträgern gespeichert, die einem Angreifer in die Hände fallen können, ist es ratsam, die Konfigurationsdatei getrennt von den verschlüsselten Dateien zu speichern.
-== Passwort ändern ==
-<syntaxhighlight lang="bash">
- gocryptfs -config ~/.config/gocryptfs/KONFDATEI.conf -passwd ~/CIPHERDIR
-</syntaxhighlight>
-* Gemeinsam mit der Option <tt>-masterkey</tt> kann ein neues Passwort vergeben werden, wenn man das Passwort vergessen hat, aber der Masterkey vorliegt.
-* Weitere Informationen enthält die [https://wiki.ubuntuusers.de/Manpage/ Manpage] zu GoCryptFS.
-== Passwort oder Konfigurationsdatei verloren ==
-Liegt der Masterkey aus der Initialisierung noch vor, können die verschlüsselten Daten mit dessen Eingabe im Terminal geöffnet werden, wobei eine eventuell vorhandene Konfigurationsdatei ignoriert wird.
-<syntaxhighlight lang="bash">
- gocryptfs -masterkey=stdin
-</syntaxhighlight>
-Mit der Option <tt>-masterkey <Masterkey></tt> können die verschlüsselten Daten, z.B. über ein Skript, ohne Konfigurationsdatei geöffnet werden.
-* Hierbei kann der Masterkey mit <tt>ps -auxwww</tt> aus dem Hauptspeicher ausgelesen werden
-* Dieses Risiko liegt bei der Option <tt>-masterkey=stdin</tt> nicht vor.
-= Hintergründe =
-Die Verschlüsselung des Dateiinhalts erfolgt im Forward Mode mit AES-GCM und im Reverse Mode mit AES-SIV-512.
 * Der hierfür benötigte Schlüssel wird mit dem Scrypt Algorithmus aus dem Masterkey abgeleitet.
 * Die Dateinamen werden im Encrypt-Mix-Encrypt – Verfahren verschlüsselt.
-* Jede Verschlüsselung bietet mögliche Angriffswege.
+* Jede Kryptografie bietet mögliche Angriffswege.
-* Daher wird die Sicherheit der Verschlüsselung grundsätzlich erhöht, wenn man Daten mit verschiedenen Programmen geschichtet [https://wiki.ubuntuusers.de/Daten_verschlüsseln/ verschlüsselt].
+* Daher wird die Sicherheit der Kryptografie grundsätzlich erhöht, wenn man Daten mit verschiedenen Programmen geschichtet [https://wiki.ubuntuusers.de/Daten_verschlüsseln/ verschlüsselt].
 * Aus den von GoCryptfs verschlüsselten Dateien kann ein Angreifer erkennen, wie viele Dateien man hat, und welche Größe diese haben.
 * Daraus könnten Rückschlüsse auf den Inhalt der Dateien möglich sein.
-* Dem kann man entgegenwirken, indem man die Dateien vor der Verschlüsselung [https://wiki.ubuntuusers.de/split/ zerlegt] oder in Container zusammenfasst.
+* Dem kann man entgegenwirken, indem man die Dateien vor der Kryptografie [https://wiki.ubuntuusers.de/split/ zerlegt] oder in Container zusammenfasst.
 ''' Forward und Reverse Mode '''
@@ Zeile 79: / Zeile 20: @@
 * Der '''Reverse Modus''' dient dazu Dateien, die unverschlüsselt (lokal) gespeichert sind, zur Datensicherung zu verschlüsseln.
 ** Die verschlüsselten Dateien bestehen nur, solange das FUSE-Dateisystem eingehängt ist.
-** Aus dem FUSE-Dateisystem können die verschlüsselten Dateien manuell oder mit einem Datensicherungsprogramm (z.B. [https://wiki.ubuntuusers.de/rsync/ rsync]) in einen dauerhaften Speicher kopiert werden.
+** Aus dem FUSE-Dateisystem können die verschlüsselten Dateien manuell oder mit einem Datensicherungsprogramm (z.&nbsp;B.&nbsp;[https://wiki.ubuntuusers.de/rsync/ rsync]) in einen dauerhaften Speicher kopiert werden.
-== Forward Mode ==
+=== Forward Mode ===
 Die Dateien werden im Verzeichnis '''CIPHERDIR''' verschlüsselt gespeichert.
 * Der Inhalt von '''CIPHERDIR''' wird im Verzeichnis '''MOUNTPOINT''' über das FUSE Dateisystem entschlüsselt zum lesen und schreiben angezeigt, wenn '''MOUNTPOINT''' eingehängt ist.
-== Reverse Mode ==
+=== Reverse Mode ===
 Im Reverse Mode wird der Inhalt von CIPHERDIR über das FUSE-Dateisystem „read-only“ angezeigt, wenn dieses eingehängt ist.
-=== Verzeichnis zum Speichern von GoCryptFS-Konfigurationsdateien erstellen ===
+== Installation ==
-<syntaxhighlight lang="bash">
+<syntaxhighlight lang="bash" highlight="1" line>
- mkdir ~/.config/gocryptfs/
+sudo apt install gocryptfs
-</syntaxhighlight>
-=== Verzeichnisse CIPHERDIR und KLARTEX anlegen ===
-<syntaxhighlight lang="bash">
- mkdir ~/CIPHERDIR ~/MOUNTPOINT
-</syntaxhighlight>
-=== GocryptFS initialisieren ===
-Ohne die Option <tt>-config</tt> wird die Konfigurationsdatei als '''~/CIPHERDIR/gocryptfs.conf''' gespeichert.
-<syntaxhighlight lang="bash">
- gocryptfs -init -config ~/.config/gocryptfs/KONFDATEI.conf -reverse ~/CIPHERDIR
-</syntaxhighlight>
-=== Verzeichnis CIPHERDIR einhängen ===
-Im Reverse Mode können Dateien mit den Optionen <tt>-exclude</tt>, <tt>-exclude-wildcard</tt> und <tt>-exclude-from</tt> von der verschlüsselten Ansicht ausgeschlossen werden.
-* Soll rsync für die Datensicherung verwendet werden, sollte, um Fehler und Warnmeldungen zu vermeiden, der Ausschluss beim Einhängen mit GoCryptFS erfolgen.
-<syntaxhighlight lang="bash">
- gocryptfs -config ~/.config/gocryptfs/KONFDATEI.conf -reverse ~/MOUNTPOINT ~/CIPHERDIR
 </syntaxhighlight>
-=== Datensicherung durchführen ===
+== Aufruf ==
-<syntaxhighlight lang="bash">
+<syntaxhighlight lang="bash" highlight="1" line>
- cp -a ~/CIPHERDIR ~/BACKUP
-</syntaxhighlight>
-=== CIPHERDIR aushängen ===
-<syntaxhighlight lang="bash">
- fusermount -u ~/CIPHERDIR
 </syntaxhighlight>
-= Home-Verzeichnis verschlüsseln =
+=== Optionen ===
-= Optionen =
 Common Options (use -hh to show all)
-{| class="wikitable sortable"
+{| class="wikitable sortable options"
 |-
 ! Option || Beschreibung
 |-
 || -aessiv
-|| AES-SIV-Verschlüsselung verwenden (mit -init)
+|| AES-SIV-Kryptografie verwenden (mit -init)
 |-
 || -allow_other
@@ Zeile 205: / Zeile 121: @@
 |}
-= Links =
+=== Parameter ===
-== Interne Links ==
+=== Umgebungsvariablen ===
-# [[Linux:Sicherheit:eCryptfs]]
+=== Exit-Status ===
+=== Dateien ===
+== Anwendung ==
+* [[GoCryptFS/Anwendung]]
+* [[GoCryptFS/Problembehebung]]
+<noinclude>
+== Anhang ==
+=== Siehe auch ===
+{{Special:PrefixIndex/{{BASEPAGENAME}}}}
+* [[ECryptfs]]
+==== Dokumentation ====
-== Weblinks ==
+===== Man-Page =====
+===== Info-Pages =====
+==== Links ====
+===== Projekt =====
 # Projektseite: https://nuetzlich.net/gocryptfs/
 # Quellcode und Dokumentation: [https://github.com/rfjakob/gocryptfs https://github.com/rfjakob/gocryptfs]
+===== Weblinks =====
 # AES-GCM: [https://eprint.iacr.org/2004/193.pdf https://eprint.iacr.org/2004/193.pdf]
 # AES-SIV-512: [https://tools.ietf.org/html/rfc5297 https://tools.ietf.org/html/rfc5297]
@@ Zeile 219: / Zeile 154: @@
 # Version für Windows: [https://github.com/bailey27/cppcryptfs https://github.com/bailey27/cppcryptfs]
-[[Category:Sicherheit:Verschlüsselung]]
-[[Category:Linux:Storage:FUSE]]
+[[Kategorie:Dateisystem/Kryptografie]]
+[[Kategorie:FUSE]]
+</noinclude>