ValdikSS Jul 6 2015 at 00:13

Шифруем и перешифровываем LUKS без потери данных

3 min

36K

Information Security*

+15

Comments 16

icoz Jul 6 2015 at 07:54

А что будет, если пропадает питание в процессе перешифрования? Оно дошифрует или прощай данные?

ValdikSS Jul 6 2015 at 09:36

Вообще должно дошифровать. Если использовать флаг --use-directio, то, с большой долей вероятности, данные не пострадают.

conformist Jul 6 2015 at 08:50

прочитав о необходимости переноса данных перед созданием шифрованного раздела и после

cryptsetup-reencrypt — эксперементальное ПО, и может убить ваши данные, так что лучше сделайте бекап.

Рискнуть или не стоит, хммм.

mx2000 Jul 6 2015 at 09:25

имхо, быстрее и проще было бы провернуть операцию через внешний веник без всякого риска потери информации. Тем более, всё равно бэкап делать)

ValdikSS Jul 6 2015 at 09:37

Вообще вы правы, cryptsetup-reencrypt заметно медленнее ядерного dm-crypt в плане производительности.

Disasm Jul 6 2015 at 11:12

Если не ошибаюсь, в каком-то номере хакера читал про подобную штуку в Android. Там это сделано через два девайса, которые, по факту, ссылаются на один и тот же. С одного девайса идёт чтение данных, они шифруются и пишутся обратно на другой девайс. По идее, это ещё и быстрее будет работать.

Iforgot Jul 6 2015 at 11:23

3-х суток? Это какой объем данных? Если все делать с нуля (всмысле даты нет на дисках, пустые, нужно их просто зашифровать перед использованием для хранения файлов), то сколько потребуется времени? Какие еще варианты шифрования директории можете порекомендовать (ставлю owncloud (+webdav) + https + ограничение доступа по IP или макам) Интересует решение, не требующее 3-х дней. ВПСка на DigitalOcean. Aes-xts 256b 1300.2 MiB/s 1310.4 MiB/s

ValdikSS Jul 6 2015 at 12:54

3-х суток? Это какой объем данных?

8 винчестеров по 1-2 ТБ, в сумме 3 суток ушло.

Если все делать с нуля (всмысле даты нет на дисках, пустые, нужно их просто зашифровать перед использованием для хранения файлов), то сколько потребуется времени?

На создание LUKS? Пара секунд.

Какие еще варианты шифрования директории можете порекомендовать

В статье говорится о шифровании всего диска как блочного устройства. Если вам нужно шифрование директории, то используйте encfs или ecryptfs, или шифрование файлов, которое добавили в ext4 в 4.1.

Iforgot Jul 6 2015 at 13:21

Спасибо!

vma Jul 6 2015 at 13:05

В Cryptic Disk или TrueCrypt, к примеру, это всё автоматизировано, нет нужды вручную разделы двигать:
www.exlade.com/ru/cryptic-disk/features/volumes

ValdikSS Jul 6 2015 at 13:08

Вы, вероятно, невнимательно читали статью. Здесь раздел тоже не двигается, вручную нужно только уменьшить файловую систему (что происходит в течение десятков секунд). Ну и ваш Cryptec Disk только под Windows, а TrueCrypt (оригинальный) мертв.

vma Jul 6 2015 at 13:13

Я имел ввиду сдвиг данных вправо. Сам раздел конечно же не двигается, только данные внутри.
Кстати, почему никто до сих пор не сделал заголовок в конце? Тогда и сдвиг этот будет не нужен.

ValdikSS Jul 6 2015 at 13:16

Да нет особой разницы сдвигаем мы данные или нет, если их все равно перешифровывать.

kay Jul 7 2015 at 10:30

А незашифрованные раздел возможно так зашифровать без потери данных?

ValdikSS Jul 7 2015 at 10:32

В статье как раз и описан способ сделать это.

kay Jul 7 2015 at 10:39

Пардон, первая мысль судя по названию утилиты — перешифрование.