Вот на хабре как-то дельную статью прочитал насчёт дропбокса. Все мы знаем, что владельцы \1 по первому пуку ФБР выдадут все ваши файлики. С помощью недавно написанной утилиты телепортации файлов между дропбоксами (эксплуатирует механизм дедупликации) можно даже обнаруживать людей, у которых имеется интересующий нас файл. Это всё говно и пиздец, конечно. Но в той статье предлагалось использовать EncFS — FUSE-система, шифрующая файлы по одному, включая имена. Т.е. у нас сохраняется структура каталогов, только имена выглядят как:
drwxr-xr-x 2 eurekafag eurekafag 4096 Апр 13 18:27 n7upGmUuZPO-j4aXgi14e4Q8
lrwxrwxrwx 1 eurekafag eurekafag 47 Дек 21 15:30 n9g61qcqgKwvqpHkdO4XCJ3h → +nFoQpzqGpRwMbTcd4D1D9ARR4WvQd8xeH4kCdVRyIMpEv,
-rw-r--r-- 1 eurekafag eurekafag 4446 Июл 26 2010 odA0qg0Pl77okA,4THn0vuKa
Ну и внутри, ясен-красен, такая же каша. В файлике .encfs6.xml находится шифрованный паролем ключ и параметры. Т.е. если его проебать, то даже небо не поможет восстановить, даже Аллах (и на пароль всем похуй). Насколько я понял, он более-менее статичен, разве что версия ПО в нём может обновляться. Так что бэкапим и пихаем подальше (без пароля он бесполезен, но тут опасность проебать). И вот эту кучу криптоты мы и кладём в дропбокс, а сами с кулфейсом делаем encfs ~/Dropbox ~/secDropbox (при первом запуске он спросит параметры шифрования и пароль, чтобы создать систему) и работаем уже с ~/secDropbox. Плюс такой, что синхронизация будет пофайловая, тогда как в случае с трукрипт-контейнером он будет каждый раз перезаливаться целиком. Ну и трукрипту нужен рут, FUSE он не умеет. Да и при потере любого файла остальные выживут, тогда как монолитный контейнер уязвим к рандомным поломкам (удаление байта из середины, думается, вызовет полную недоступность данных после него, т.к. сместятся все блоки).
Я запилил такое для своего unison-driven дропбокса, но у кого нет своего сервера, могут использовать схему и для любого чужого хранилища, которому теперь необязательно нужно доверять.
Кому всё ещё интересна оригинальная статья, вот: http://habrahabr.ru/blogs/infosecurity/1... Но я тут всё вкратце уже пересказал, да и для линукса такое делается куда проще, encfs есть в любой репе. В случае мака нужны какие-то анальные пляски с подменой библиотек, перемонтированием, а уж спермобляди и подавно sosnooley beyond repair. Данный тред открывается для ваших мыслей на эту тему, плюсы-минусы.
13 comments
recommend
bookmark
subscribe
слишком медленно
Статью прочитал давно, применить вздумал только сейчас. Ещё доставило encfssh — запускает новый шелл во временном каталоге, после закрытия шелла всё отмонтируется. Удобно же.
Как только ssd привезут, зашифрую к хуям весь /home. Осталось только понять что лучше: блочное или как в eCrytpfs
А, тебе всё ещё везут... Я вот смотрю на этот ecryptfs, у него есть плюс, что он не FUSE. Т.е. должен работать быстрее. Но вот есть там в факе вопрос: Why does the eCryptfs daemon crash my kernel?
You are probably using a kernel with the netlink interface to the userspace daemon. The netlink interface with the userspace daemon is buggy and obsolete.
To resolve the issue, there is a patch to migrate eCryptfs from using netlink for kernel-daemon communications to using a device handle instead. This patch has been merged into the -mm tree, and we anticipate that this patch will find its way into kernel release 2.6.26. In addition to this patch, you will need ecryptfs-utils release 44 or greater.
Ща опробуем её всё равно, encfs дал около 25 мб/с на запись (обычный винт) и полный нагруз на проц (ну это понятно, что винт тут не является бутылочным горлом).
Короче, что-то я не увидел особых профитов eCryptfs. Быстрее за счёт ядерности — это да, но нужно ли оно для дропбоксов? Для хомяка да, довольно критично. Но взамен ты получаешь достаточно сложную систему, в которой периодически находят дыры (может, это и FUD, не знаю). В случае с XFS возможны крэши из-за переполнения стека. В общем, чеши репу, фьюзы известны своей нагрузкой на проц, ядерные системы — потенциальной нестабильностью вплоть до керныльпаника.
А зачем тогда пользоваться дропбоксом?
Чтобы синхронизировать свои файлы, а не давать дядям из СШП пофапать на твои сканы паспорта. Ну, я утрирую.
Параноики вместо того чтобы параноить на дропбоксе могут по sshfs подмонтировать сервачок. Утрируя. Ну и там rsync/git и прочее говно, работает изкаропки и везде.
Этим занимается мёртвое бульбашское поделие unison, разрабы которого променяли перспективную разработку на невнятное нихуя.
Я сравнивал ecrytpfs и dm-crypt тащемта. encfs тем и не интересен, что работает через fuse.
На что именно променяли? У меня unison вполне свою задачу выполняет, чего от него ещё нужно? А так да, ecryptfs шустр, конечно, да и опций порядочно. Сижу, ковыряю. Праздник у меня, да.
http://www.cis.upenn.edu/~bcpierce/uniso...
Да уж, точнее ЭТО не назвать. Тем не менее, багов юнисона я не находил, так что он меня устраивает и в нынешнем виде. Всякое бывает.