Geli vs ZFS encryption

Cast stargrave

Native ZFS encryption в данный момент есть только у Oracle. Tom Caputi из Datto написал поддержку шифрования для ZFS on Linux, но ее еще не приняли в апстим, полируют. А в OpenZFS не берут пока ее в ZoL не оттестируют, ведь они на этой ФС деньги делают и не хотят тестировать на своих клиентах. Во FreeBSD она появится не раньше чем в OpenZFS а это еще не скоро. Следовательно у вопрос выбора GELI или Native ZFS encryption во Фрее еще даже не стоит. Пока есть только GELI для всего пула или pefs для директории. Удачи.

Хорошо ответили в комментарии выше. На FreeBSD об этом пока думать рано и выбора нет. Когда родное шифрование ZFS появится, то думаю что уж AES-NI прикрутить не сложно, учитывая что там AES по-умолчанию. Из плюсов родного шифрования (не считая удобство администрирования): возможность выполнять scrub/resilver, send/recv, dedup без необходимости открытия GELI. Из недостатков: утекают метаданные (размеры и какие ФС (zfs) присутствуют), утекает информация об одинаковых блоках (dedup), из-за сжатия можно сделать аналог CRIME-атаки. Как правило, большинству жить с этими недостатками можно, но GELI с XTS-режимом чисто криптографически будет лучше (когда-то давно кстати писал про режимы полнодискового шифрования: http://www.stargrave.org/Disk-encryption.html).

Фряха не умеет в мой тачпад от слова совсем.

/thread

https://github.com/zfsonlinux/zfs/commit/b52563034230b35f0562b6f40ad1a00f02bd... — native ZFS encryption начал появляться и вне Oracle.