Dawno temu zachwycałem się EncFS[1]. Obsługiwało AES, pozwalało szyfrować pliki, nie partycje i pozwalało trzymać je na zwykłym systemie plików. Tak naprawdę szyfrowany był katalog. Jakiś czas temu upadł Truecrypt, który – zdaniem twórców – okazał się nie tak bezpieczny, jak postrzegali go ludzie. Teraz kolej na EncFS.
Wczoraj, podczas aktualizacji systemu[2], dostałem w twarz dialogboksem o następującej treści:
Encfs security informationAccording to a security audit by Taylor Hornby (Defuse Security), the current implementation of Encfs is vulnerable or potentially vulnerable to multiple types of attacks. For example,an attacker with read/write access to encrypted data might lower the decryption complexity for subsequently encrypted data without this being noticed by a legitimate user, or might usetiming analysis to deduce information.Until these issues are resolved, encfs should not be considered a safe home for sensitive data in scenarios where such attacks are possible.
Pięknie, prawda? Szczególnie, że EncFS byłby świetnym rozwiązaniem do szyfrowania plików w chmurze – EncFS dla WebDAV czy Dropbox były proste w założeniu i wygodne w użytkowaniu[3]…
Wygląda, że pomału można żegnać się z EncFS. A podobnych alternatyw jakoś nie widać na horyzoncie.
[1] Strona projektu zwraca 404. Przypadek? W każdym razie nie linkuję, łatwe do wyszukania…
[2] Debian unstable. Akurat tam nie używam encfs, ale instaluję wszędzie. Planowałem do chmury.
[3] Ładne ilustrowane howto dla EncFS w chmurze.
Może by projekt nie upadł kiedy by był płatny?
Coś za często ostatnio upadają narzędzia do szyfrowania. Węszę spisek.
Być może to naprawią, z tego co pamiętam co pisało w audycie, to nie były jakieś krytyczne problemy. Może będą musieli zerwać z kompatybilnością wstecz, ale to wszystko.
Swoją drogą, mi osobiście jakoś nie zależy na ukrywaniu metadanych (nazwy plików, wielkości itd) – ciekawe czy istnieje jakiś filesystem dla FUSE który po prostu szyfruje każdy plik osobno przez PGP. Jako bonus dałoby się to odczytywać np. na telefonie, bo z encfs to raczej kiepsko. Wiadomo że będą problemy z wydajnością dla dużych plików i tak dalej, ale do pewnych zastosowań byłoby całkiem w porządku.
@GDR! Zobaczymy. Strona projektu leży, jak sprawdzałem jakiś czas temu, to nie grzeszył aktualizacjami. IMHO padnie.
Metadane typu nazwa IMO warto ukrywać – wiadomo nad czym np. firma pracuje czy jaką inną firmą się interesuje itp. Rozmiar – tu jest problem, bo można tylko zwiększać. IMHO niekrytyczne, ale fajnie, jakby FS miał opcję zwiększania rozmiaru pliku o losową ilość, nie więcej niż N procent.
Co do szyfrowania przez GPG – myślałem o tym samym, ale będzie parę problemów:
1. pliki tymczasowe (gdzie trzymać?)
2. jednowątkowość gpg (wydajność)
Czemu encfs miałby kiepsko działać na telefonie via FUSE, skoro GPG by działało (via FUSE). Widzę minimum 3 choć w części kompatybilne: Boxcryptor Classic, Encdroid Multi Cloud, Cryptonite.
BTW z Linuksowych alternatyw polecono mi ecryptfs. Jeszcze się nie przyglądałem…
Strona zmieniła adres:
vgough.github.io/encfs/
@Tomasz: Masz rację i jej nie masz. Faktycznie jest nowa strona, ale… nie jest kompletna. Zacytuję:
GitHub hosting for EncFS is in progress. Until the transition is complete, see also the original, and more complete, introduction page at http://www.arg0.net/encfs I 404 na podanym linku.
No cóż – ja w link kliknąłem i strona się otworzyła. Chyba masz popsuty internet 😉
@fenrir Prawda, teraz działa, dzięki za info. Wtedy nie działało (i wątpię, by o mój internet chodziło ;)). Można się przekonać, że na githubie niepotrzebnie odsyła do starej strony, bo nic ciekawego na niej nie ma. 🙂
W tej chwili projekt jest nadal rozwijany. Działa dobrze, a dziury, które wykryto nie były jakieś krytyczne. Tym bardziej, że jeśli ktoś tego używał lokalnie to w ogóle go nie dotyczyły.
W mojej opinii jest najlepszy. A najlepszym dowodem na to jest fakt, że audyt odbył się w sposób profesjonalny, a nie jak z TrueCryptem, gdzie po audycie okazało się, że są dwie nowe dziury, których audytorzy nie wykryli.
Na dzień dzisiejszy EncFS jest bezpieczny. Tylko bierzcie pod uwagę to, że mówię o samym EncFS. Jak ktoś używa go za pośrednictwem jakiś programów to musi liczyć się z tym, że te programy będą miały jakieś backdoory. Polecam EncFS+konsola+trzymanie pliku z kluczem w innej lokalizacji niż zaszyfrowane dane.
Pzdr.