Решил известить об успешном варианте реализации бутерброда: /home=>encfs=>zfs(compressed)=>ext4 и все это в Debian Wheezy в ВМ от fastvps.ru

В общем решил дойти до высшей точки в своих извращениях.

Не хватает LVM и cryptsetup/LUKS, так что точка не высшая и есть еще куда стремиться.

zfs через fuse

Привет тебе из 2014 года, ядерный модуль уже запилили.

У него впс, там с ядрёными модулями наверное туго.

Не хватает LVM и cryptsetup/LUKS, так что точка не высшая и есть еще куда стремиться.

Это было реализовано на OpenVZ VM - там нет в принципе ни LVM ни устройств, разве только шифровать файловый контейнер...
Но шифровка устройства прозрачна. Если юзер подмонтировал такой раздел то админ хоста или узла на котором крутится ВМ - легко может посмотреть содержимое. В случае с cryptfs монтирующейся через fuse - там своё пространство - недоступное свыше.

В Плане LUKS я сейчас кручу FreeOTFE для Win и надо будет попробовать прочитать из Linux раздел записанный на пкованный ntfs поверх FreeOTFE.

Это из серии носимого hdd с которого можно загрузить Linux и прочитать зашифрованные данные с него же или подключить к винде, запустить с нешифрованного 100Mb ntfs portable драйвер шифрованного тоа :)

Привет тебе из 2014 года, ядерный модуль уже запилили.

1.Я сильно сомневаюсь что на хосте OpenVZ разрешат грузить левый ядерный модуль.
2.Ядерный модуль запилили 2 года назад - еще до fuse, но он запилен в zfsonlinux только для x64, а у меня тесты начинались на Samsung P28 (x32) и уже потом - потащил это на OpenVZ.

У него впс, там с ядрёными модулями наверное туго.

Это да, но техсаппорт fastvps.ru все же реализовал возможность использовать fuse - хотя это тоже отдельный модуль. Именно благодаря этой возможности и получились тесты. Думаю далеко не у каждого VPS хостера можно получить эту возможность.

я тут кручу халявные VM от haphost.com и vps.me - там это не позволено и тех саппорт халявщикам не отвечает.

шифрованные файлы encfs которая настроена так чтобы шифровать хомячки пользователей даже от рута.

https://defuse.ca/audits/encfs.htm

Его даже из следующего релиза Debian выкинули по этой причине.

https://defuse.ca/audits/encfs.htm
Его даже из следующего релиза Debian выкинули по этой причине.

Спасбо за интересное чтиво.

Заказали аудит - получили результат.
Интересно - а есть аудит какой либо системы с отсутствием уязвимостей?
Как по мне так аудиторы всегда накопают потенциальные проблемы.
Эксплойтов то нет...

Описанные уязвимости смогут быть использованы профессиональными взломщиками с онлайн доступом к ломаемой системе, а у меня нет таких данных для взлома которых их могут привлечь. Просто так закрытую encfs структуру обычный обыватель не прочтет. Если злоумышленникам попадет каталог с данными то в оффлайн режими они никак его не дешифруют, описанные уязвимости требуют доступа к промежуточным данным.

Думаю гораздо проще взломать через fuse не дающий доступа к encfs.

Хотя конечно мой Английский не так хорош - мог понять неверно.
Жаль что debian отказался в дистр класть. Придется плясать с бубном.

шифрованные файлы encfs которая настроена так чтобы шифровать >хомячки пользователей даже от рута.

В любом случае заинтересовала эта система по этой причине. Любая другая крипто-фс ломается рут шеллом в атакуемую систему - и забирай что хочешь - например из хост системы виртуализации. Здесь в условиях VPS гораздо выше защищенность не смотря на описанные уязвимости.

А может есть альтернативы encfs ?

шифровать хомячки пользователей даже от рута

эммм, а что мешает руту сделать «sudo -u target_user -i» и уже потом таки ломиться в хомяк?

я таки тоже ищу альтернативу encfs , потому что ее удобно держать под контролем Git, если нужен криптоконтейнер распределенный под тучу мелких txt файлов. Удобство заключается в том, что по «git pull» ты выкачиваешь только свежий diff и даже перемонтировать не надо. Всякие ecryptfs,LUKS,cryptsetup в качестве бакенда используют один большой файл, который не засунешь в Git, и который непонятно как распределять\синкать между пользователями.

эммм, а что мешает руту сделать «sudo -u target_user -i» и уже потом таки ломиться в хомяк?

Упс... факир был пьян...
Вот такой возможности я не осознавал. Спасибо что привели.
В общем от рута не спрятаться.

Так что encfs только и остается что для шифровки того что хранится в облаке - но тут уже описанный аудит рассказывает про дырки.

ecryptfs
используют один большой файл

Да ты же упоротый.

гы, точно, насчет ecryptfs был неправ