Como descriptografar arquivos eCryptfs que foram recuperados usando o photorec de uma partição danificada

Question

Eu usei photorec - com um grau razoável de sucesso - para recuperar arquivos de uma partição de usuário de danos onde os usuários 'casas foram criptografadas usando ecryptfs no Ubuntu.

Os arquivos recuperados agora são denominados semelhantes a f5345000.eCryptfs . Estou assumindo que nem todos os arquivos do conjunto original foram recuperados. Além disso, a estrutura de diretórios não existe mais.

eCryptfs tinha criptografia de nome de arquivo ativada, que é o padrão para o Ubuntu.

Supondo que eu tenha a frase secreta eCryptFS. É possível descriptografar esses arquivos? Como isso pode ser feito?

    

Answer 1

O eCryptfs geralmente precisa de um arquivo wrapped-passphrase que armazene a chave de criptografia real ("senha de montagem"), ou você precisa da senha de montagem em si.

Se você tiver um desses, você pode tentar ecryptfs-recover-private "encontrar e montar quaisquer diretórios privados criptografados". Desde nomes de arquivos foram criptografados, eu não acho que eles poderiam ser recuperados, seus nomes foram criptografados nos nomes de arquivos, e photorec geralmente não recuperar nomes de arquivos (tornando apenas encontrando o arquivo wrapped-passphrase também) - eu estou assumindo testdisk não teve sorte?

ecryptfs-recover-private precisa dos arquivos em diretórios específicos:

• arquivos criptografados em .Private
• wrapped-passphrase in $d/../.ecryptfs/wrapped-passphrase (onde $ d é .Private ou um diretório nomeado)

A menos que você diga qual diretório descriptografar (não precisa ser especificamente nomeado .Private ). Minha outra resposta aqui tem mais informações sobre o eCryptfs, incluindo o layout geral.

ecryptfs-recover-private é apenas um script de shell, portanto, se você tiver dificuldades, tente passá-lo manualmente se quiser. Em um terminal para ver rapidamente, basta usar

less 'which ecryptfs-recover-private'

Eu não acho que o eCryptfs precise de todos os arquivos originais para descriptografia bem sucedida (caso contrário, excluir um único arquivo se tornaria um problema), mas alguns dos arquivos recuperados podem estar truncados ou ter alguns dados inválidos também, então definitivamente não é garantido trabalhos.

E se houvesse arquivos criptografados de vários usuários, eles também teriam senhas de montagem diferentes, mas photorec provavelmente recuperaria todos os arquivos em um grande grupo. Isso significa tentar descriptografar todos os arquivos com cada senha de montagem diferente, um de cada vez, e ver se alguma coisa funciona. Backups são definitivamente preferidos!