3 Fragen zu Crypt

Das klassische Unix-Tool zum Verschlüsseln von Text auf der Konsole heißt `crypt`. Es ist ein Kommandozeilenprogramm, das in älteren Unix-Systemen verfügbar war. Die grundlegende Verwendung sieht so aus: ```bash crypt <passwort> <eingabedatei >ausgabedatei ``` Beispiel: ```bash crypt meinpasswort < klartext.txt > verschluesselt.txt ``` **Hinweis:** - Das `crypt`-Programm gilt heute als unsicher und wird auf modernen Unix- und Linux-Systemen meist nicht mehr mitgeliefert. - Für sichere Verschlüsselung empfiehlt sich stattdessen z.B. [GnuPG (gpg)](https://gnupg.org/) oder [OpenSSL](https://www.openssl.org/). Weitere Informationen zu `crypt` findest du z.B. in der [man page von crypt](https://man7.org/linux/man-pages/man1/crypt.1.html).

Das "Loopback"-Device (oft als "loop" bezeichnet) ist eine Methode unter Unix/Linux, um eine Datei als Blockgerät zu behandeln, sodass sie wie ein echtes Gerät (z.B. eine Festplattenpartition) gemountet werden kann. Das wird häufig beim Einsatz von verschlüsselten Dateisystemen genutzt, etwa mit **cryptsetup** oder **losetup**. Wenn du nach einer Alternative zum klassischen "loop"-Device für verschlüsselte Dateisysteme suchst, gibt es mehrere Möglichkeiten: 1. **Direktes Blockgerät** Anstatt eine Datei als Loopback-Device zu verwenden, kannst du direkt eine Partition oder ein physisches Blockgerät (z.B. `/dev/sdb1`) für die Verschlüsselung nutzen. Beispiel: ``` cryptsetup luksFormat /dev/sdb1 cryptsetup open /dev/sdb1 mycrypt mkfs.ext4 /dev/mapper/mycrypt ``` 2. **Device Mapper (dm-crypt)** Moderne Verschlüsselungslösungen wie **dm-crypt** (genutzt von cryptsetup/LUKS) arbeiten direkt mit Blockgeräten und benötigen kein Loopback-Device, sofern du keine Datei als Container nutzt. 3. **Dateibasierte Container ohne Loopback** Einige Tools (z.B. **TrueCrypt**, **VeraCrypt**) können verschlüsselte Containerdateien auch ohne explizites Anlegen eines Loopback-Devices einbinden, indem sie intern den Zugriff regeln. 4. **FUSE-basierte Lösungen** Tools wie **EncFS** oder **gocryptfs** arbeiten auf Dateiebene und benötigen kein Loopback-Device, da sie das Dateisystem im Userspace (über FUSE) bereitstellen. - [EncFS](https://vgough.github.io/encfs/) - [gocryptfs](https://github.com/rfjakob/gocryptfs) **Fazit:** Du brauchst das Loopback-Device nur, wenn du eine Datei als Blockgerät mounten willst. Wenn du direkt mit Partitionen, physischen Geräten oder FUSE-basierten Lösungen arbeitest, ist das "loop"-Device nicht notwendig.

Das ext4-Dateisystem selbst bietet keine native Verschlüsselung auf Dateisystemebene wie z.B. LUKS/dm-crypt (Blockgeräte-Verschlüsselung). Allerdings unterstützt ext4 seit Linux 4.1 die sogenannte **Filesystem-level Encryption** (fscrypt), auch als "ext4 native encryption" bekannt. Diese Verschlüsselung funktioniert auf Verzeichnisebene und ist nicht mit LUKS/dm-crypt zu verwechseln. **Voraussetzungen:** - Linux-Kernel ≥ 4.1 (besser ≥ 5.x) - e2fsprogs ≥ 1.43 - Das Paket `fscrypt` (https://github.com/google/fscrypt) **Schritte zur Erstellung und Nutzung:** 1. **Dateisystem anlegen (wie gewohnt):** ```bash mkfs.ext4 /dev/sdXn ``` 2. **Mounten:** ```bash mount /dev/sdXn /mnt/mydata ``` 3. **fscrypt installieren:** - Unter Debian/Ubuntu: ```bash sudo apt install fscrypt ``` - Unter Fedora: ```bash sudo dnf install fscrypt ``` 4. **Dateisystem für fscrypt vorbereiten:** ```bash sudo fscrypt setup /mnt/mydata ``` 5. **Verschlüsseltes Verzeichnis anlegen:** ```bash sudo mkdir /mnt/mydata/secret sudo fscrypt encrypt /mnt/mydata/secret ``` Du wirst nach einem Passwort gefragt und kannst ggf. weitere Optionen wählen. 6. **Verwendung:** - Nach dem Mounten des Dateisystems musst du das Verzeichnis mit `fscrypt unlock` freischalten: ```bash fscrypt unlock /mnt/mydata/secret ``` - Danach kannst du wie gewohnt auf das Verzeichnis zugreifen. **Wichtige Hinweise:** - Die Verschlüsselung gilt **nur für die so eingerichteten Verzeichnisse**, nicht für das gesamte Dateisystem. - Die Metadaten (z.B. Verzeichnisstruktur) sind teilweise weiterhin sichtbar. - fscrypt ist **kein Ersatz für LUKS/dm-crypt**, aber für viele Anwendungsfälle ausreichend. **Weitere Infos:** - [fscrypt GitHub](https://github.com/google/fscrypt) - [Kernel-Dokumentation](https://www.kernel.org/doc/html/latest/filesystems/fscrypt.html) **Zusammenfassung:** Ein "nativ verschlüsseltes ext4-Dateisystem" ohne LUKS/dm-crypt erreichst du mit `fscrypt` auf Verzeichnisebene. Das Dateisystem wird wie gewohnt erstellt und gemountet, die Verschlüsselung erfolgt dann gezielt auf Verzeichnisse mit Hilfe von `fscrypt`.