Dotaz: Jak si zamknout soubory na serveru

[Honza]

Zdravím,

Je možný, že si na serveru s nainstalovaným Debianem vytvořím nějaký adresář, do kterého budu mít přístup jenom já? Teď nemyslím práva ale nějaké šifrování toho požadovaného adresáře.

Pokusím se popsat, co bych přesně potřeboval.

Přihlásím se na server, su, odemknu si nějaký můj adresář, vezmu co potřebuji, zamknu a 2x logout. Jde to nějak takto jednoduše a přitom bezpečně? Děkuji

---

---

Odpovědi

[Nn]

Napriklad s luks/cryptsetup si muzes vytvorit sifrovany soubor/kontejner, ktery si pripojis. Postup zde.

[Peter Golis]

Napríklad encfs ktorý sa ti odomkne pri prihlásení a odpojí pri odhlásení.

Akurát že akákoľvek takáto voľba je náchylná na to, že ti to skopíruje root alebo že ti podvrhne binárku na odomknutie za keylogger.

[Honza]

Tak to encfs určitě ne, četl jsem o tom již dřív a dost lidí přišla o data.

[Peter Golis]

To ma zaujíma. Nejaké detaily by neboli?

[Honza]

Peťo odkazy nemám, je to delší dobu kdy jsem to řešil a stejně jsem to nijak nedořešil :(

Nevíš jestli cryptsetup umí zašifrovat adresář? Nic moc jsem nenašel.

[NN]

Ono to funguje trochu jinak.. vytvoris si sifrovany soubor nebo partition, ktere nasledne pripojis. V systemu se potom tvari jako klasicky adresar.

[Honza]

A jak si takový šifrovaný soubor vytvořím?

[jiwopene]

Krátká ukázka vytvoření šifrovaného souborového systému v souboru

Vytvoření souboru sifrovany.bin, na kterém je ext4:

/tmp $ truncate -s 64M sifrovany.bin
/tmp $ cryptsetup luksFormat sifrovany.bin

WARNING!
========
Toto nevratně přepíše data na sifrovany.bin.

Are you sure? (Type uppercase yes): YES
Zadejte heslo:
Ověřte heslo:
/tmp $ sudo cryptsetup open --type luks sifrovany.bin sifrovany # „sifrovany“ název dešifrovaného zařízení
Zadejte heslo pro sifrovany.bin:
/tmp $ sudo mkfs.ext4 /dev/mapper/sifrovany
mke2fs 1.44.5 (15-Dec-2018)
Vytváří se systém souborů s 63488 (1k) bloky a 15872 uzly
UUID systému souborů=d0517ca7-7839-4918-9a13-a70b97fe54a8
Zálohy superbloku uloženy v blocích:
        8193, 24577, 40961, 57345

Alokují se tabulky skupin: hotovo
Zapisuji tabulky iuzlů: hotovo
Vytváří se žurnál (4096 bloků): hotovo
Zapisuji superbloky a účtovací informace systému souborů: hotovo

/tmp $ sudo cryptsetup close sifrovany

Práce s oddílem (připojení do sifrovany.mnt, zapsání textu 42 do souboru ANSWER.TXT v něm a odpojení):

/tmp $ sudo cryptsetup open --type luks sifrovany.bin sifrovany 
/tmp $ mkdir sifrovany.mnt
/tmp $ sudo mount /dev/mapper/sifrovany sifrovany.mnt
/tmp $ sudo sh -c "echo 42 > sifrovany.mnt/ANSWER.TXT"
/tmp $ sudo umount sifrovany.mnt
/tmp $ sudo cryptsetup close sifrovany

---

sifrovany.bin je soubor, který obsahuje zašifrovaný souborový systém. Pomocí truncate jsem ho vytvořil (velikost 64 MiB). Může to být třeba i klasický disk (/dev/sda4).

sifrovany.mnt je adresář, kam jsem připojil sifrovany.bin

sifrovany, resp. /dev/mapper/sifrovany je zařízení, které obsahuje souborový systém po provedení cryptsetup open.

---

Nezapomeňte si nastavit oprávnění k souborům (chmod, chown, popř. ACL), aby se Vám někdo v připojeném šifrovaném souborovém systému nehrabal.

[jiwopene]

Můžete si nastavit i ověření klíčem nebo přidat další hesla. Doporučuji pročíst si manpage cryptsetup(8).

[Honza]

Děkuji, jdu to hned vyzkoušet.

[k3dAR]

btw: misto:

sudo cryptsetup open --type luks sifrovany.bin sifrovany

lze pouzit kratsi:

sudo cryptsetup luksOpen sifrovany.bin sifrovany

[jiwopene]

Podle manpage je luksOpen pro zpětnou kompatibilitu. Určitě to bude fungovat ještě hodně dlouho, ale nikdy nikdo neví…

[NN]

Aha, zly odkaz.. Ted uz je to ok.

[Honza]

PS: mám za to, že dokonce při instalaci vyskočila nějaká tabulka která informovala uživatele o nějakém auditu a ten nějak neprošel + nedoporučuje používat produkt pokud hrozí ... (to už nevím)

[Peter Golis]

Aha, tak to si bol aj ty čo si zabudol prístupové údaje a divil si sa keď si sa bez nich nevedel dostať k zakryptovaným dátam? To odmietnutie prístupu k dátam bez overenia je vlastnosťou enkrypcie, a to výslovne žiadúcou vlastnosťou.

[Honza]

Já o data nepřišel...

[Peter Golis]

Len som sa chcel uistiť. Takže si vlastne len niekde čítal že niekto prišiel o dáta, ale ani nevieš kde a čo o tom bolo písané. Tak je to správne, takých ľudí by mali voliť do parlamentu.

[Honza]

No překroutil jsi to celý moc hezky..

[Peter Golis]

Nie, neprekrútil. Len som zosumarizoval ako si tvrdil že nejaký produkt poškodil niekomu dáta. A ako si sám potvrdil, tak to tvoje tvrdenie nevieš podložiť. Teraz neviem či si sa snažil o falošné obvinenie, alebo o ohováranie.

[k3dAR]

prekrucovani je tvoje prostredni jmeno...

ze je encfs nebezpecne se vi uz aspon 5let, zaroven to co zminoval se zobrazuje uporneni kdyz provadis upgrade systemu (tusim minimalne Debian a/nebo *buntu), ze encfs se kvuli zranitelnostem NEdoporucuje pouzivat...

[k3dAR]

napr. ArchWiki zobrazuje:

Warning: A security review (February 2014) of encfs discovered a number of security issues in the stable release 1.7.4 (June 2014). Please consider the report and the references in it for updated information before using the release.

je mozne ze v novejsich verzich je to poresene, nebo je mozne ze ne, nebo je tam problemu vice/jine... urcite to ale nevis ani ty

[k3dAR]

takze to co Honza psal a ty na to mel sve blbe kecy je kdyz se instaluje/aktualizuje encfs balicek minimalne (overeno) v Debian 8/9, Ubuntu 18.04/19.10:

│ Informace o zabezpečení Encfs                                             │
│                                                                           │
│ Vzhledem k bezpečnostnímu auditu Taylora Hornby (Defuse Security), je     │
│ současná implementace Encfs zranitelná, nebo potencionálně zranitelná     │
│ vůči vícero typům útoků. Útočník s přístupem pro čtení/zápis do           │
│ zašifrovaných dat může například snížit složitost dešifrování následně    │
│ zašifrovaných dat, aniž by to oprávněný uživatel zaznamenal, nebo může k  │
│ odvození informací využít časovou analýzu.                                │
│                                                                           │
│ Dokud nebudou tyto problémy vyřešeny, nelze v situacích, kdy jsou tyto    │
│ útoky možné, encfs považovat za bezpečné úložiště dat                     │

screenshot zde

[Peter Golis]

To je perfektný dôkaz, potencionálna zraniteľnosť ktorá bola prevzatá ako svätý grál z 5 rokov starého blogu poukazujúceho na "best practices" z roku 2005. To oje FUD jak vyšitý. Keby sa jednalo o reálnu hrozbu, tak to asi niekto dá do požiadaviek na opravu pre daný projekt.

Ale kľudne pokračuj, ...

[Filip Jirsák]

Nemůžu si pomoci, ale „snížení složitosti šifrování“ (tedy potenciální zpřístupnění dat útočníkovi) je něco úplně jiného, než „dost lidí přišla o data“. S trochou nadsázky je to vlastně pravý opak.

[k3dAR]

to si klidne nepomahej, ja upresnoval tohle, pred presnym znenim te hlasky, sem psal o nebezpecnosti nikoliv poruchovosti a protoze tazatel resi "jak zamknout" neni pouziti encfs resenim, pokud sam s nadsazkou pises ze mu je nekdo kdyztak "zalohuje" z podobneho duvodu bych nenasadil ten cryfs, ale pouzil roky proverenej zminovanej LUKS na file...

[Filip Jirsák]

Já jsem poukazoval na ten Honzův nešťastný způsob, kdy bez jakéhokoli dokladu postupně vyjmenoval tři různé věci, které mají být na encfs špatně, až jste pak musel přijít vy a vysvobodit ho něčím reálným. Snaha někoho varovat před špatným softwarem je chválihodná, ale když nevím co je špatně a neumím to dohledat, musím podle toho také formulovat komentář.

[_]

Hodte na toho Jirsaka deku, zase spal se slovnikem po posteli a resi picoviny.

[Jendа]

Tabulka informovala o tom, že (ve velice nepravděpodobném scénáři použití) je tam bezpečnostní díra, která umožní dešifrovat či deterministicky pozměnit kousek souboru. Nikoli o tom, že by to data ztrácelo.

[Peter Golis]

A tak isto sa tam písalo, že je k tomu treba prístup aj na zápis. A keď má človek prístup na zápis, tak pozmení hocičo. To je všeobecná vlastnosť súborového systému, aj toho podkladového.

[Kit]

Nejlepší by bylo šifrovat/dešifrovat výhradně na klientovi, na serveru by se tak vyskytovala pouze zašifrovaná data.

[Honza]

Nakonec jsem našel tohle https://www.cryfs.org/

Vypadá to celkem dobře a funguje to.

Jediný problém je ten, že nemůžu nikde najít jak nastavit/změnit práva 700 na 777 u přimountovaného adresáře.

Neví někdo? Díky.

[k3dAR]

myslis ze je dobrej napad resit sifrovani a zaroven chtit nastavit maximalni prava totalne vsem?

[Honza]

To samozřejmě není ale potřebuji tam dočasně nakopírovat soubory i jako někdo než root. Přihlášení jako root mám vypnuto a přes případné WINSCP se musím přihlásit jako obyčejný uživatel.

[Jendа]

Takže místo známého encfs, které prošlo auditem, který objevil pouze ne úplně zásadní chyby, sis vybral nějakou věc o které skoro nikdo neslyšel a píšou tam o tom že je to beta.

Jestli je to FUSE, tak to většinou mívá nějaký parametry typu allow-others nebo uid.

[lertimir]

No nezatracoval bych to tak úplně. Karlsruhe má dobré kryptology a ta diplomka ze které vychází vypadá kryptologicky v pořádku. Samozřejmě může být nějaká bota v implementaci, tak bych byl zatím rezervovaný. Ale dokazatelně bezpečných systémů moc není. Rozhodně jsem rád, že jsem se o tomto fs dověděl.

[k3dAR]

cryfs nepouzivam, ale predpokladam ze to pripojujes pres sudo a nemas pristup jako tvuj uzivatel, pak hledas mount parametr "-o allow_other", zaroven si ale pohlidej ze do tveho home (resp. tam odkud/kam to budes pripojovat) nema jinej uzivzatel pristup ani pro cteni...

[Honza]

Jenže ono se to nemountuje příkazem mount ale příkazem

cryfs basedir mountdir

Pokud tohle udělám jako přihlášený root, adresář mountdir se vždy nastaví na 700 a změnit to neumím...

[k3dAR]

cryfs basedir mountdir -o allow_other

[Honza]

Tak ten parametr neprošel :(

cryfs basedir mountdir -o allow_other

CryFS Version 0.9.6

unrecognised option '-o'
Usage: cryfs [options] baseDir mountPoint [-- [FUSE Mount Options]]

Allowed options:
  -h [ --help ]          show help message
  -c [ --config ] arg    Configuration file
  -f [ --foreground ]    Run CryFS in foreground.
  --cipher arg           Cipher to use for encryption. See possible values by
                         calling cryfs with --show-ciphers.
  --blocksize arg        The block size used when storing ciphertext blocks (in
                         bytes).
  --show-ciphers         Show list of supported ciphers.
  --unmount-idle arg     Automatically unmount after specified number of idle
                         minutes.
  --logfile arg          Specify the file to write log messages to. If this is
                         not specified, log messages will go to stdout, or
                         syslog if CryFS is running in the background.

Environment variables:
  CRYFS_FRONTEND=noninteractive
        Work better together with tools.
        With this option set, CryFS won't ask anything, but use default values
        for options you didn't specify on command line. Furthermore, it won't
        ask you to enter a new password a second time (password confirmation).
  CRYFS_NO_UPDATE_CHECK=true
        By default, CryFS connects to the internet to check for known
        security vulnerabilities and new versions. This option disables this.

[NN]

Ve starsi verzi je to takto:

cryfs basedir mountdir -- -o allow_other

[k3dAR]

mas pravdu, zmena na prime pouziti -o (bez oddeleni parametru pomoci --) je az od verze 0.10.0

[Honza]

Díky

[k3dAR]

overil si jak mas nastavene prava nadrazenemu adresari kam to pripojujes? protoze pokud to je pro cteni ostatnim, tak pri pripojenem ti do toho samozrejme muze kdokoliv vlest..

ls -ld /ten/adresar

odebrani vsech prav ostatnim i skupine:

chmod go-rwx /ten/adresar

[Honza]

Tam je dočaně nastavené oprávnění 0777 (zatím jen pro testování).

[lertimir]

Pokud se to děje všechno na serveru, je nějaký důvod proč nepoužít veracrypt?

[Petr Fiedler]

Používal jsem jej roky k naprosté spokojenosti. A před ním TrueCrypt.

[Honza]

Nenašel jsem jediný způsob ja to do Debianu nainstalovat.

[k3dAR]

pokud nechces ho prenaset na Windows, nevim proc bych pouzil VeraCrypt misto nativni GNU/Linux reseni pres LUKS, proc ho nechces pouzit a porad hledas jine polovicate reseni?

[k3dAR]

pokud preci jen chces, tak... Repositar pro Debian na "openSUSE Build":
https://build.opensuse.org/package/show/home:stevenpusser:veracrypt/veracrypt

Informace jak pridat openSUSE repositar do Debianu/*buntu:
https://en.opensuse.org/openSUSE:Build_Service_Debian_builds#Configuring_sources.list

Zjednodusene kompletni postup (cistejsi a vcetne balicku pro https zdroj) pro Debian9:

echo "deb https://download.opensuse.org/repositories/home:/stevenpusser:/veracrypt/Debian_9.0 ./" | sudo tee /etc/apt/sources.list.d/veracrypt.list
wget https://download.opensuse.org/repositories/home:/stevenpusser:/veracrypt/Debian_9.0/Release.key -O - | sudo apt-key add -
sudo apt update
sudo apt install apt-transport-https
sudo apt install veracrypt

btw: overil sem pridani, nainstalovani a pusteni veracrypt, nezkousel sem vytvaret kontejner...

[Honza]

No já jsem byl pro LUKS řešení, ale je to vážně moc složitý :(

[k3dAR]

co je slozity? jiwopene to popsal presne, prepisu s komentarema a vynecham zobrazenej prubeh:
Jednorazove pripraveni sifrovaneho souboru:

# vytvoreni souboru o velikosti 64M
truncate -s 64M sifrovany.bin

# vytvoreni sifrovaneho LUKS na souboru
cryptsetup luksFormat sifrovany.bin

# odemceni LUKS souboru, odemceny se zobrazi jako zarizeni v /dev/mapper/odemceny
sudo cryptsetup luksOpen sifrovany.bin odemceny

# zformatovani odemceneho na ext4fs
sudo mkfs.ext4 /dev/mapper/odemceny

# zamceni
sudo cryptsetup luksClose odemceny

Nasledne kdyz budes chtit pouzit:

# odemceni+pripojeni
sudo cryptsetup luksOpen sifrovany.bin odemceny
sudo mount /dev/mapper/odemceny /mnt

# odpojeni+zamceni
sudo umount /mnt
sudo cryptsetup luksClose odemceny

[k3dAR]

uz sem si rikal, ze snad napisu v yad/zenity GUI abys jen kliknul, ale nejsem sam kdo mel podobnej napad, treba tohle luckyLUKS, sice stare 4roky, ale overil sem ze i ten pripravenej deb funguje v Xubuntu18.04...

# stazeni balicku
wget https://github.com/jas-per/luckyLUKS/releases/download/v1.2.0/python-luckyluks_1.2.0-1_all.deb

# instalace balicku
sudo dpkg -i python-luckyluks_1.2.0-1_all.deb

# dointalovani zavislosti
sudo apt install --fix-broken

nasledne pustit ze "start" menu: luckyluks, v nem vytvoris kontejner kterej ti to zformatuje samo, nasledne pri odemceni nabidne vytvoreni zastupce, kdyz ho vytvoris do "start"menu se prida ikona: "Unlock tebouzvolenejmeno" pri pusteni jen zadas unlock a heslo...

[k3dAR]

pro jistotu, v tom luckyLUKS v kolonce file zadavas celou cestu a nazev kterej si vymyslis (v prikladu pretim "sifrovany.bin"), pak "device name" ktere si vymyslis a pod kterym to bude odemykat (v prikladu pretim "odemceny"), v advanced nemusis menit nic...

[lertimir]

No složité to není. Ale na druhou stranu pro lidi, kteří mají rádi jen grafické prostředí z toho mohou mít kopřivku. Pokud má VeraCrypt tak vše nakliká. Samozřejmě za cenu ze vevnitř je FAT.

[k3dAR]

na jednu(*1) stranu to chapu, proto sem resil i GUI, viz, pokud by i instalaci se chtel nutne vyhnout terminalu, tak ok klikaci postup:
1. z https://github.com/jas-per/luckyLUKS stahnout soubor python-luckyluks_1.2.0-1_all.deb
2. ve spravci souboru poklikat mysi na stazenej soubor a pockat nez se pusti (spravce)Software
3. v (Spravci)Software tuknout na Instalovat


*1) na druhou, dneska "kazdej" pise kilometry textu na facebook, do skype/whatsapp, do wordu, dotaz na abclinuxu... ale napsat par radku textu do terminalu dela koprivku?

[Peter Golis]

A čo univerzálnejšií zuluCrypt? Nepoužívam, len sa pýtam.

[k3dAR]

nevim, nepouzivam ani jedno, o zuluCrypt sem cetl take, resp. primo v README luckyLUCK ale tem mi prisel vhodnejsi prave pro tu jednoduchost/"jedno"ucelovost...

[lertimir]

Ten rozdíl je v tom, že na písmenkách facebooku, whatsupp atd skoro nezáleží. Na příkazovém řádku záleží na každém znaku a to je zdroj jejich kopřívky.

[Honza]

Nemám ani nepoužívám linux s GUI..

[Honza]

Díky moc! Tak jak jsi to napsal to vypadá daleko jednodušší ;) A který ten soubor mám ve finále zálohovat? Soubor sifrovany.bin?

[k3dAR]

ano sifrovany.bin (pokud si misto toho nevymyslis jine jmeno) je jedinej realnej soubor

[Honza]

Tak jsem to vyzkoušel ale skončilo to chybou "IO error while decrypting keyslot".

root@localhost:~# dd if=/dev/random of=test bs=1M count=1
0+1 records in
0+1 records out
17 bytes copied, 0.000294334 s, 57.8 kB/s
root@localhost:~# cryptsetup luksFormat test

WARNING!
========
This will overwrite data on test irrevocably.

Are you sure? (Type uppercase yes): YES
Enter passphrase:
Verify passphrase:
IO error while decrypting keyslot.

[k3dAR]

takove doporuceni, kdyz ti nekdo radi jak neco udelat, drz se postupu a nesnaz se tam vtestnat sve "napady", kdyz uz to udelas a nefunguje to, tak aspon pak zkus ten postup co ti nekdo radil

1. /dev/random je na takove potreby nevhodny/brutalne_pomalej, kdyz tam pouzit /dev/zero (pro zaplneni nulama), nebo /dev/urandom, pro zaplneni nahodnejma...

2. snazis se vytvarit velikost 1M (slovy jeden megabajt) coz je malo

3. soubor co si vytvoril ma 17b (slovy sedmnact bajtu) to je nemozne malo/nic 

predpokladam ze si chtel zaplnit soubor nahodnejma datama, aby si pripadne "utocnikovi"/"odciziteli_souboru" stizil zjisteni kde jsou a nejdou data... pridam spravnej postup kterej bys pouzil PO 1 kroku (truncate) z postupu zde

# vytvoreni docasneho LUKS pouze pro potreby zaplneni bordelem
sudo cryptsetup open --type plain --key-file /dev/random sifrovanej.bin bordel
# zaplneni bordelem (bere se size z /dev/zero ale uklada se sifrovane, takze v zamcenem to NEbudou nuly)
sudo dd bs=1M if=/dev/zero of=/dev/mapper/bordel status=progress
# zavreni docasneho LUKS
sudo cryptsetup luksClose bordel

# zlikvidovani docasne LUKS hlavicky
sudo dd if=/dev/urandom of=sifrovanej.bin bs=1M count=10 status=progress

a pokracovat v puvodnim postupu...

[Jendа]

# zlikvidovani docasne LUKS hlavicky
sudo dd if=/dev/urandom of=sifrovanej.bin bs=1M count=10 status=progress

Tohle ten soubor nahradí, nepřepíše to začátek...

[k3dAR]

dik za upozorneni tak ten krok klidne vynechat, nebo si nejsem jistej zda tohle udelat to same?

# likvidace LUKS
sudo cryptsetup luksErase sifrovany.bin

(btw: koukam ze micham v postupu sifrovany.bin a sifrovanej.bin)

[Honza]

Jasně, omlouvám se! Moje chyba. Tvůj návod fungoval hned, jen jsem nechtěl vytvořit obyčejný soubor a nenapadlo mě, že to bude zrovna kámen úrazu ;)

Měl bych prosím ještě dva, jeden pro upřesnění a jeden ohledně spolehlivosti.

Když to namountuji, tak se tam vytvoří adresář lost+found, je tento adresář potřebný, nebo ho můžu klidně odstranit?

Když vypadne el. proud, jak moc to uškodí těm uloženým datům, můžu tak i o data přijít?

Díky

[k3dAR]

lost+found je automaticky vytvarenej adresar na ext4 a slouzi pro pripadne ulozeni ztracenych soubory v pripade problem pri kontrole disku, urcite bych ho nemazal, i kdyz by se pak stejne vytvoril pripadne znovu...

pri vypadku napajeni bys o nic prijit nemel, resp. sance je stejna jako by slo o regulerni disk s LUKS... ale pokud bys chtel mit 1000% jistotu, muzes pouzit misto ext4 filesystem(tedy format toho odemceneho) s CoW, tedy zfs nebo btrfs...

[Jendа]

Vytvořil jsi soubor dlouhý 17 bajtů, do toho se hlavička LUKSu fakt nevejde. (hint: u GNU DD je parametr bs nápověda jak velký buffer má předat syscallu read/write, a read rozhodně může naplnit jak velkou část se kernelu zrovna hodí -- v tvém případě 17 bajtů. Jde to řešit pomocí iflag fullblock, ale rozumnější je používat prostě head -c xxx)

[Honza]

Já chtěl vytvořit jen 1MB velikost, jelikož by trvalo nekonečně dlouho:(

[k3dAR]

protoze /dev/random je nekonecne pomalej postup tady zaplni bordelem nasobne rychlejs, random je pouzito jen jako (docasnej)"klic"