Ecryptfs armazena cada arquivo criptografado em um arquivo (o arquivo mais baixo, em terminologia ecryptfs ). A estrutura de diretórios dos arquivos inferiores espelha a dos arquivos de carga útil, embora os nomes dos arquivos sejam criptografados. Os metadados (tempos de modificação, em particular) dos arquivos inferiores também revelam os arquivos de carga útil. O tamanho do arquivo inferior é um pouco maior que o tamanho da carga útil (com uma sobrecarga fixa para os metadados do Ecryptfs) <.
Se você estiver armazenando seu próprio trabalho, onde o invasor já saberá aproximadamente quais tipos de dados você tem ("Eu já sei que essa é uma árvore de código-fonte, e sei que essas são planilhas, o que quero saber é ! ”), Nada disso é um problema. Mas se você estiver armazenando árvores de diretórios que possam ser identificadas por seu layout (estrutura de diretórios, tamanhos aproximados, datas), o Ecryptfs não é a ferramenta certa para você.
Use criptografia no nível de dispositivo de bloco. O Linux fornece isso com dm-crypt . Você pode criptografar o disco inteiro (exceto uma pequena área para o gerenciador de inicialização) ou criptografar /home ou alguma outra partição. Se você não criptografar todo o disco, tenha em mente que informações confidenciais podem acabar em outros lugares, especialmente no espaço de troca (se você tiver dados criptografados em qualquer lugar, deverá criptografar seu swap). Observe que, se você optar pela criptografia de todo o disco, seu computador não poderá inicializar sozinho, você terá que digitar sua frase secreta no teclado.
Como todo o dispositivo de bloco é criptografado, a localização do conteúdo e dos metadados do arquivo não pode ser detectada por um invasor que rouba o disco. Além de um cabeçalho no início da área criptografada, o conteúdo é indistinguível do ruído aleatório. Um invasor pode obter algumas informações ao ver vários instantâneos dos dados criptografados e estudar como vários setores evoluem com o tempo, mas, mesmo com isso, seria difícil descobrir algo interessante, e isso não se aplica se você parar de modificar os dados depois o atacante viu o texto cifrado (como no caso de um roubo de disco).
Muitas distribuições oferecem a possibilidade de criar um volume dmcrypt ou criptografar todo o disco no momento da instalação. Talvez seja necessário selecionar a imagem de instalação “avançada” ou “servidor”, em oposição à imagem “desktop” ou “básica”.
A ferramenta para manipular volumes dm-crypt é cryptsetup . Para criar um volume dmcrypt, crie uma partição /dev/sdz9 , digamos, e execute cryptsetup luksFormat /dev/sdz9 . Você precisará adicionar o volume a /etc/crypttab ; use cryptsetup luksOpen para ativar o volume no local ou cryptmount -a depois de configurar /etc/crypttab . Dm-crypt é apenas uma camada de cifra, então você precisará criar um sistema de arquivos no volume criptografado.
Instale O Backtrack 5 r2 na instalação do LUKS instalado com o ubuntu tem um tutorial sobre como configurar o dm-crypt inteiramente manualmente.
¹ Experimentalmente, com as configurações padrão, o tamanho de arquivo inferior é o tamanho do arquivo de carga útil, arredondado para um múltiplo de 4kB, além de uma sobrecarga de 8kB.