eCryptfs

eCryptfs とは、Linux向けのエンタープライズ暗号ファイルシステムです。

読み方

eCryptfs: いーくりぷとえふえす

概要

eCryptfsは、Linux向けのPOSIX準拠暗号スタックファイルシステムです。 eCryptfsは、それぞれのファイルのヘッダの暗号化したメタデータを保存します。ファイルは、ホスト間でコピーできます。Linux kernel keyring の適切な鍵でファイルは復号されます。eCryptfsは、"ファイルシステムのGnuPG"のような種類として考えることができます。

eCryptfsは、オンディスク形式をサポートしていないため、擬似ファイルシステムと呼ばれています。ファイルシステムの上に実装された、ファイルシステム層です。

eCryptfsは、オンディスクのファイルシステムではないので、mkfsなどのコマンドで作成しません。eCryptfsで保護されたファイルシステムを扱う場合には、ecryptfs-utilsパッケージをインストールします。

インストール

Ubuntu/Debianにインストールする場合

apt-get コマンドでインストールする場合です。

sudo apt-get install ecryptfs-utils

mount.ecryptfs

mount.ecryptfs は、eCryptfs マウントヘルパーです。

このマウントユーティリティは、いろいろなコンフィグレーションタスクを実行するためのマウントヘルパーに従います。マウントオプションをマニュアルで指定するときに、-iオプションを使用してマウントヘルパーにバイパスします。

mount -t ecryptfs /root/crypt /mnt/crypt

ecryptfsd

ユーザースペース eCryptfs デーモンです。 ecryptfsdは、eCryptfsマウントポイント下で、ユーザ実行ファイル操作として実行するユーザースペースデーモンです。eCryptfs カーネルモジュールから公開鍵リクエストをサービスします。それらのリクエストは、ファイルオープンイベントの/dev/ecryptfsを通して送信されます。ecryptfsd は、公開鍵モジュールとマウントが完了したときに実行される必要があります。

このデーモンは、ecryptfsdの実行によって起動されます。ecryptfsdは、デーモンを起動したユーザのコンテキスト下ですべての eCryptfs ファイルシステムリクエストをサービスするべきデーモンとしてカーネルに登録されます。

ecryptfs-manager

ecryptfs-managerは、鍵のようなeCryptfsオブジェクトを管理するアプリケーションです。新しい鍵を生成するキーモジュールとして ecryptfs-managerを使えます。

暗号

暗号化キーのタイプ

暗号化キーのタイプは、以下のいずれかです。

パスフレーズを選択した場合、mountするときにパスフレーズを求められます。

暗号アルゴリズム

暗号アルゴリズムは、以下のとおりです。

AES
Blowfish
DES3_ede
cast6
cast5

キーのバイトサイズ

16
24
32

その他

plaintext passthrought を有効にするか？
filename encryption を有効にするか？

使い方

暗号化されたファイルシステムとしてマウントする

sudo mount -t ecryptfs /path/to/ecrypted/directory /mnt

/mnt に対するファイルに関連する書き込みは、暗号化されて /path/to/encrypted/directory のファイルシステムに書き込まれます。 /path/to/encrypted/directory の直接書き込みを行うと不整合を起こす可能性があります。そのため、/path/to/encrypted/directory と /mnt を同一にすることが推奨されます。

sudo mount -t ecryptfs /home /home

上記の例では、 /home に対するすべてのファイル操作が eCryptfs層を通過します。

sudo ecryptfs-mount-private

あなたの暗号化されたプライベートディレクトリをセットアップする

ecryptfs-setup-private

暗号化されたプライベートディレクトリを使用する

~/Privateに書いたファイルやディレクトリのすべての内容は、ディスクに書き込まれるときに暗号化されます。隠しディレクトリ ~/.Privateに書き込まれます。

sshの鍵、Eメールなどのデータを暗号化する

.ssh, .gnupg, .mozilla, Mail など暗号化ディレクトリに移動し、シンボリックリンクを作ります。

$ mv .ssh ~/Private
$ ln -s ~/Private/.ssh .ssh