Penyulitan Fail Linux

Kita hidup di dunia di mana privasi dan keselamatan menjadi semakin penting. Hampir setiap hari ada berita mengenai pelanggaran data atau kebocoran. Walaupun ada langkah lain yang dapat anda ambil untuk melindungi data anda, menyulitkan fail adalah salah satu yang lebih jelas.

Alternatif untuk Penyulitan Fail.

Sebelum kita menyelami enkripsi fail dengan lebih mendalam, mari kita mempertimbangkan alternatifnya dan melihat apakah enkripsi fail sesuai untuk keperluan anda. Data sensitif dapat dienkripsi pada tahap butiran yang berbeza: enkripsi cakera penuh, tahap sistem fail, tahap pangkalan data dan tahap aplikasi. Ini artikel melakukan pekerjaan yang baik membandingkan pendekatan ini. Mari kita ringkaskan.

Penyulitan cakera penuh (FDE) masuk akal untuk peranti yang rentan terhadap kehilangan atau kecurian fizikal, seperti komputer riba. Tetapi FDE tidak akan melindungi data anda dari banyak yang lain termasuk percubaan penggodaman jarak jauh dan tidak sesuai untuk menyulitkan fail individu.

Sekiranya enkripsi peringkat sistem fail, sistem fail melakukan penyulitan secara langsung. Ini dapat dicapai dengan menyusun sistem fail kriptografi di atas yang utama atau mungkin dibina. Menurut Ini wiki, beberapa kelebihannya adalah: setiap fail dapat dienkripsi dengan kunci yang terpisah (diuruskan oleh sistem) dan kawalan akses tambahan melalui kriptografi kunci awam. Sudah tentu, ini memerlukan pengubahsuaian konfigurasi OS dan mungkin tidak sesuai untuk semua pengguna. Walau bagaimanapun, ia menawarkan perlindungan yang sesuai untuk kebanyakan situasi, dan ia agak mudah digunakan. Ia akan dibahas di bawah.

Penyulitan tahap pangkalan data dapat menargetkan bahagian data tertentu seperti lajur tertentu dalam jadual. Walau bagaimanapun, ini adalah alat khusus yang menangani kandungan fail dan bukannya keseluruhan fail dan dengan itu berada di luar ruang lingkup artikel ini.

Penyulitan tahap aplikasi, mungkin optimum apabila polisi keselamatan memerlukan perlindungan data tertentu. Aplikasi boleh menggunakan enkripsi untuk melindungi data dengan banyak cara, dan mengenkripsi fail tentunya salah satunya. Kami akan membincangkan aplikasi untuk menyulitkan fail di bawah.

Menyulitkan fail dengan Aplikasi

Terdapat beberapa alat yang tersedia untuk menyulitkan fail di Linux. Ini artikel menyenaraikan alternatif yang paling biasa.  Sehingga hari ini GnuPG nampaknya menjadi pilihan paling mudah. Mengapa? Kerana, kemungkinannya, sudah terpasang pada sistem anda (tidak seperti ccrypt), baris perintahnya mudah (tidak seperti opensl secara langsung), ia sedang dikembangkan dengan sangat aktif dan dikonfigurasikan untuk menggunakan cypher terkini (AES256 mulai hari ini ).

Sekiranya anda belum memasang gpg, anda boleh memasangnya dengan menggunakan pengurus pakej yang sesuai untuk platform anda seperti apt-get:

pi @ raspberrypi: ~ $ sudo apt-get install gpg
Membaca senarai pakej ... Selesai
Membina pokok pergantungan
Membaca maklumat keadaan ... Selesai

Enkripsi fail dengan GnuPG:

pi @ raspberrypi: ~ $ rahsia kucing.txt
Perkara Rahsia Teratas!
pi @ raspberrypi: ~ $ gpg -c rahsia.txt
pi @ raspberrypi: ~ $ rahsia fail.txt.gpg
rahsia.txt.gpg: GPG data yang disulitkan secara simetri (AES256 cipher)
pi @ raspberrypi: ~ $ rm rahsia.txt

Sekarang, untuk menyahsulitkan:

pi @ raspberrypi: ~ $ gpg --membongkarkan rahsia.txt.gpg> rahsia.txt
gpg: AES256 data yang disulitkan
gpg: disulitkan dengan 1 frasa laluan
pi @ raspberrypi: ~ $ rahsia kucing.txt
Perkara Rahsia Teratas!

Harap maklum "AES256" di atas. Ini adalah cypher yang digunakan untuk menyulitkan fail dalam contoh di atas. Ini adalah varian berukuran 256 bit (selamat untuk sekarang) dari "Advanced Encryption Standard" (juga dikenali sebagai Rijndae) sypher suit. Lihat ini Artikel Wikipedia untuk maklumat lanjut.

Menyiapkan Penyulitan peringkat Sistem Sistem

Menurut Ini laman wiki fscrypt, sistem fail ext4 telah membina sokongan untuk penyulitan fail. Ini menggunakan fscrypt API untuk berkomunikasi dengan kernel OS (dengan asumsi fitur enkripsi diaktifkan). Ini menerapkan enkripsi pada peringkat direktori. Sistem ini dapat dikonfigurasi untuk menggunakan kunci yang berbeza untuk direktori yang berbeza. Apabila direktori dienkripsi begitu juga semua data yang berkaitan dengan nama fail (dan metadata) seperti nama fail, kandungannya dan subdirektori. Metadata bukan nama fail, seperti cap waktu, dikecualikan daripada penyulitan. Catatan: fungsi ini tersedia di Linux 4.1 pelepasan.

Walaupun ini BACA SAYA mempunyai arahan, berikut adalah gambaran keseluruhan ringkas. Sistem ini mematuhi konsep "pelindung" dan "polisi". "Policy" adalah kunci sebenarnya yang digunakan (oleh kernel OS) untuk menyulitkan direktori. "Protector" adalah frasa laluan pengguna atau yang setara yang digunakan untuk melindungi dasar. Sistem dua tahap ini membolehkan mengawal akses pengguna ke direktori tanpa perlu menyulitkan semula setiap kali terdapat perubahan pada akaun pengguna.

Kes penggunaan yang biasa adalah menetapkan dasar fscrypt untuk menyulitkan direktori utama pengguna dengan frasa laluan masuk mereka (diperoleh melalui PAM) sebagai pelindung. Melakukannya akan menambahkan tahap keselamatan tambahan dan memungkinkan melindungi data pengguna walaupun penyerang berjaya mendapatkan akses pentadbir ke sistem. Berikut adalah contoh yang menggambarkan seperti apa penyediaannya:

pi @ raspberrypi: ~ $ fscrypt encrypt ~ / secret_stuff /
Sekiranya kita membuat pelindung baru? [y / N] y
Sumber pelindung berikut ada:
1 - Frasa laluan masuk anda (pam_passphrase)
2 - Frasa laluan tersuai (custom_passphrase)
3 - Kekunci 256 bit mentah (raw_key)
Masukkan nombor sumber untuk pelindung baru [2 - custom_passphrase]: 1
Masukkan frasa laluan masuk untuk pi:
"/ home / pi / secret_stuff" kini disulitkan, tidak dikunci, dan siap digunakan.

Ini boleh menjadi telus sepenuhnya kepada pengguna setelah disediakan. Pengguna dapat menambahkan tahap keselamatan tambahan pada beberapa subdirektori dengan menentukan pelindung yang berbeza untuknya.

Kesimpulannya

Enkripsi adalah subjek yang mendalam dan kompleks dan masih banyak lagi yang perlu diliputi dan ia juga merupakan bidang yang berkembang pesat, terutama dengan munculnya pengkomputeran kuantum. Sangat penting untuk terus berhubungan dengan perkembangan teknologi baru kerana apa yang selamat hari ini dapat ditembusi dalam beberapa tahun. Bersikap teliti dan perhatikan berita.

Karya Dipetik

• Memilih Pendekatan Penyulitan yang Betul Thales eSecurity Buletin, 1 Feb 2019
• Penyulitan tahap sistem fail Wikipedia, 10 Jul 2019
• 7 Alat untuk Menyulitkan / Mendekripsi dan Melindungi Kata Laluan Fail di Linux TecMint, 6 Apr 2015
• Fscrypt Arch Linux Wiki, 27 Nov 2019
• Wikipedia Standard Penyulitan Lanjutan, 8 Dis 2019