ECryptfs

eCryptfs  er et POSIX -kompatibelt lagdelt kryptografisk filsystem i Linux-kernen (introduceret i kerneversion 2.6.19).

Generel information

Forskellen mellem eCryptfs og de fleste andre kryptografiske filsystemer er, at alle kryptografiske metadata er gemt inde i den krypterede fil. Dette gør det muligt at flytte sådanne filer gennem betroede kanaler, mens de stadig giver autoriserede personer adgang til indholdet af filerne.

eCryptfs er implementeret som et Linux-kernemodul, suppleret med forskellige hjælpeprogrammer til at arbejde med nøgler. Dette modul krypterer indholdet af filer ved hjælp af kernens kryptografiske API. Nøglelagermodulet trækker information fra overskrifterne på individuelle filer og sender disse data til krypteringsapplikationen. Baseret på de modtagne oplysninger bestemmes krypteringsregler, i henhold til hvilke der træffes en beslutning om yderligere handlinger (for eksempel bede brugeren om at indtaste en adgangskode eller dekryptere sessionsnøglen ved hjælp af den private nøgle).

Arkitektoniske træk

eCryptfs er baseret på OpenPGP-filformatet beskrevet i RFC2440 [1] . Samtidig afveg udviklerne fra standarden for at bevare muligheden for tilfældig adgang til data i en fil. I henhold til OpenPGP-formatet skal kryptering og dekryptering udføres på hele indholdet af filen. Dette fører til, at der ikke kan læses en eneste byte fra filen, før den er fuldstændig dekrypteret. For at omgå dette problem uden at kompromittere systemsikkerheden opdeler eCryptfs dataene i omfang . Som standard er disse bidder filsystemets sidestørrelse (indstillet i kernen, typisk 4096 bytes ). For at læse data fra ét stykke skal det være fuldt dekrypteret, og for at skrive data til en blok skal hele blokken være krypteret.

Hver blok har sin egen unikke initialiseringsvektor. Adskillige initialiseringsvektorer er lagret i en blok, der går forud for flere efterfølgende datablokke. Når data skrives til en blok, bliver den tilsvarende initialiseringsvektor i blokken af ​​sådanne vektorer opdateret og overskrevet, før blokken krypteres. Blokkene krypteres med en blokchiffer valgt baseret på reglerne svarende til den givne fil i chiffertekstbloksammenkædningstilstanden .

Implementering af kryptering på filsystemniveau og lagring af kryptografiske data sammen med selve filerne har visse fordele:

• Krypteringsnøgler kan knyttes til individuelle filer i stedet for til en mappe eller et filsystem som helhed.
• Inkrementelle sikkerhedskopieringsværktøjer kan fungere korrekt på filer uden adgang til deres dekrypterede indhold.
• Forøgelse af produktiviteten. I de fleste tilfælde er det kun visse filer, der skal krypteres. Så for eksempel behøver biblioteker og eksekverbare filer som regel ikke at være krypteret.
• Filer kan frit overføres fra en enhed til en anden uden nogen konvertering.

Overskriftsstruktur

Hver eCryptfs-inode svarer til en inode i det underliggende filsystem og indeholder en kryptografisk kontekst forbundet med den. Denne kontekst omfatter:

• Session krypteringsnøgle
• Flag - er filen krypteret eller ej
• Signaturer af de godkendelsestokens, der er knyttet til denne fil
• Omfang størrelser

eCryptfs kan cache den kryptografiske kontekst af hver fil for at fremskynde systemet.

Arbejde med adgangskoder

For at undgå ordbogsangreb på adgangskoder, "salter" eCryptfs autentificeringsadgangskoder : adgangskoden er sammenkædet med en "salt"-streng, derefter hashes den sammenkædede streng iterativt (65537 gange som standard) for at generere en godkendelsessignatur, der svarer til adgangskoden.

Arbejde med nøgler

eCryptfs fungerer så gennemsigtigt som muligt for alle applikationer, der arbejder med krypterede filer. I de fleste tilfælde, hvor adgangskontrol ikke kan håndhæves fuldt ud af værten, bør det faktum, at filen er krypteret, ikke være et problem for brugeren. Kryptering skal pr. definition sikre informationernes integritet og fortrolighed, og systemet løser disse problemer ved at bruge brugerautentificeringsdata til at generere nøgler og få adgang til indhold.