Différences

Ci-dessous, les différences entre deux révisions de la page.

--- ecryptfs [Le 29/12/2017, 10:32]
88.182.40.86 [Récupération du contenu d'un répertoire Private chiffré]
+++ ecryptfs [Le 11/06/2021, 22:52]
zococo [Fil de discussion associé]
@@ Ligne 6: / Ligne 6: @@
 **Ecryptfs ** est un outil pour créer un dossier privé (**~/Private**), __chiffré et inaccessible aux autres utilisateurs__, il est destiné à contenir tous les fichiers "sensibles" que vous pourriez avoir : vos fichiers contenant des mots de passe, les données confidentielles relatives à vos comptes bancaires, vos emails…
-<note>Cette nouvelle caractéristique de sécurité est disponible depuis Ubuntu Intrepid Ibex</note>
+<note>Cette nouvelle caractéristique de sécurité est disponible depuis [[intrepid|Ubuntu Intrepid Ibex]]</note>
+<note warning> Cette [[https://wiki.ubuntu.com/BionicBeaver/ReleaseNotes|fonctionnalité ]]
+n'est pas disponible lors de l'installation de la version [[https://bugs.launchpad.net/ubuntu/+source/ecryptfs-utils/+bug/1756840|18.04.0]]</note>
 ===== Installation =====
+==== Contrôle préalable. ====
+Ecryptfs assure une sécurité des données basée sur le mot de passe. Il est donc nécessaire que le mot de passe ne soit pas très aisément récupérable.
+S'il est récupérable en dix secondes, il semble inutile de chiffrer les données.
+<code>sudo apt install john
+sudo john --show  /etc/passwd /etc/shadow</code>
+S'il est déchiffrable  en moins de 24 heures. le risque reste important.
+<code>sudo john --incremental  /etc/passwd /etc/shadow</code>
+S'il est nécessaire de  passer plus de temps, il est probable que les particuliers seront découragés mais pas les professionnels quitte à utiliser un réseau de 1000 machines afin de diminuer la durée de décryptage, mais ils décrypteront le mot de passe.
+==== Acquisition du logiciel. ====
 Il suffit [[:tutoriel:comment_installer_un_paquet#paquet_present_dans_les_depots|d'installer le paquet]] **[[apt>ecryptfs-utils]]**.
@@ Ligne 35: / Ligne 48: @@
 Enregistrez votre phrase secrète dans un lieu sûr, elle sera requise pour récupérer vos données ultérieurement.
-Puis, avant d'utiliser, il faut absolument suivre cette directive, sinon ce que vous avez écrire sera perdu
+Puis, avant d'utiliser, il faut absolument suivre cette directive, sinon ce que vous allez écrire sera perdu
 **Logout, and log back in to begin using your encrypted directory.**
@@ Ligne 87: / Ligne 100: @@
 ===== Chiffrer son /home =====
-Si vous n'avez pas chiffré votre dossier personnel "/home" lors de l'installation d'Ubuntu, il est encore possible de le faire. Pour cela, il faut utiliser la commande
+Si vous n'avez pas chiffré votre dossier personnel "/home" lors de l'installation d'Ubuntu et si vous n'avez pas déjà créé un répertoire chiffré, il est encore possible de le faire. Pour cela, il faut utiliser la commande
 <code>sudo ecryptfs-migrate-home -u "user"</code>
-en remplaçant "user" par le login du compte à crypter.
+en remplaçant "user" par le login du compte à chiffrer.
-<note important>Il n'est pas possible d'utiliser cette commande depuis le compte user du dossier /home à crypter. Il faut donc créer un utilisateur temporaire sur votre système, lui donner les droits sudo en l'associant au groupe "admin" puis se logger sur un console avec cet utilisateur temporaire pour executer la commande ci-dessus.</note>
+<note important>Il n'est pas possible d'utiliser cette commande depuis le compte user du dossier /home à chiffrer. Il faut donc créer un utilisateur temporaire sur votre système, lui donner les droits sudo en l'associant au groupe "admin" puis se logger sur une console avec cet utilisateur temporaire pour exécuter la commande ci-dessus.</note>
-<note warning>Avant de lancer le processus, il est recommandé de faire un backup de son /home en utilisant par exemple [[clonezilla|Clonezilla]]</note>
+<note warning>Avant de lancer le processus, il est recommandé de faire une sauvegarde de son répertoire /home en utilisant par exemple [[clonezilla|Clonezilla]]</note>
+<note help>Cette migration emporte aussi les données de l'utilisateur  montées dans d'autres partitions  et reliées par un lien logique aux dossiers Documents, Images, téléchargements, musique et Vidéos et nécessite 2,5 fois la taille de cet ensemble</note>
 Pour créer un nouvel utilisateur "temporaire" en lui donnant les droits d'admin, tapez :
@@ Ligne 104: / Ligne 119: @@
 <code>sudo rsync -a /home/user /backup/user.old</code>
-Faite ensuite du ménage dans votre dossier /home : la migration vers un /home crypté nécessite que la partition sur laquelle est votre /home ait un espace disque libre de 2,5x la taille du /home à chiffrer ! \\
+Faite ensuite du ménage dans votre dossier /home : la migration vers un /home chiffré nécessite que la partition sur laquelle est votre /home ait un espace disque libre de 2,5x la taille du /home à chiffrer ! \\
 Passez ensuite en mode console avec CTRL+ALT+F1 en ayant fermé votre session graphique (il faut s'assurer que le /home de l'utilisateur à chiffrer n'aura pas d'accès en écriture pendant l’opération) et loggez vous avec votre nouvel utilisateur.\\ Vous pouvez vérifier si il y a encore des processus qui tournent sous votre user à chiffrer avec la commande <code>top</code>
@@ Ligne 112: / Ligne 127: @@
   - **Avant de rebooter**, loguez vous avec l'utilisateur qui vient d'être migré <code>su "user"</code> et naviguez dans votre dossier /home. Si vous retrouvez vos fichiers et pouvez les lire, c'est que tout c'est bien passé.
   - La migration a crée un dossier /home/user.XXXXXXXX. Si tout s'est bien passé, vous pouvez le supprimer (à faire après quelque jours d'utilisation, une fois que l'on est vraiment sur que tout s'est bien passé.) Si non, utilisez le pour restaurer votre /home
-  - Utilisez la commande <code>ecryptfs-unwrap-passphrase</code> pour connaitre votre clé de chiffrement. Notez là et gardez là précieusement, cela pourra vous être utile pour déchiffrer votre home en cas de problème.
+  - Utilisez la commande <code>ecryptfs-unwrap-passphrase</code> pour connaître votre clé de chiffrement. Notez-la et gardez-la précieusement, cela pourra vous être utile pour déchiffrer votre home en cas de problème.
-  - Criptez votre swap avec la commande <code>ecryptfs-setup-swap</code>
+  - Chiffrez votre swap avec la commande <code>ecryptfs-setup-swap</code>
 Vous pourrez enfin supprimer votre utilisateur temporaire avec la commande
 <code>sudo deluser --remove-all-files temporaire</code>
 ===== Préalable pour pouvoir se relogger facilement avec le gestionnaire de connexion et l'authentification PAM : =====
+Le montage est automatique en version 16.04,
+Le paquet peut aussi s'appeler libpam-mount et les deux autres paquets peuvent déjà être installés.
 L'idée étant évidement que le répertoire personnel soit monté en clair dès le login. Pour cela nous allons utiliser pam_mount, il faudra d'abord installer le paquet en question "libpam_mount" et "rsync" et "lsof" :
@@ Ligne 143: / Ligne 151: @@
 Attention à bien utiliser la même passphrase pour chiffrer votre repertoire personnel, que le mot de passe de connexion.
+===== Création d'un nouvel utilisateur sécurisé : =====
+(Réalisation en version 16.04)
+L'installation standard ne génère le répertoire /home/$USER que d'un seul utilisateur pouvant être chiffré ou pas. il peut être  nécessaire de créer d'autres utilisateurs.
+  *  Créer l'utilisateur nouveau grâce à la commande **sudo adduser NouveauNom**
+  *  Initialiser immédiatement le chiffrage de cet utilisateur grâce à la commande. **sudo ecryptfs-migrate-home -u NouveauNom**
+  *  Demander à **NouveauNom** de se connecter afin qu'il fabrique la phrase de sécurité de montage de son répertoire
+  *  Patienter quelque minutes le temps que la grille proposant d'enregistrer ce choix soit affichée.
+  *  Valider la grille afin d'automatiser
+  * Se déconnecter et se reconnecter immédiatement avant l'arrêt de l'ordinateur.
+Constat;
+ Le répertoire de cet utilisateur est bien monté automatiquement. il accède à ses propres données qui sont protégées des autres  sessions **lorsque l'utilisateur n'est pas connecté**..
+<code>root@u16041:/mnt/home/cryptage# ls -las
+total 8
+dr-x------ 2 1002 1002 4096 déc.  29 11:47 .
+drwxr-xr-x 7 root root 4096 déc.  29 11:47 ..
+lrwxrwxrwx 1 1002 1002   56 déc.  29 11:47 Access-Your-Private-Data.desktop -> /usr/share/ecryptfs-utils/ecryptfs-mount-private.desktop
+lrwxrwxrwx 1 1002 1002   34 déc.  29 11:47 .ecryptfs -> /home/.ecryptfs/cryptage/.ecryptfs
+lrwxrwxrwx 1 1002 1002   33 déc.  29 11:47 .Private -> /home/.ecryptfs/cryptage/.Private
+lrwxrwxrwx 1 1002 1002   52 déc.  29 11:47 README.txt -> /usr/share/ecryptfs-utils/ecryptfs-mount-private.txt
+root@u16041:/mnt/home/cryptage</code>
+<code>
+root@u16042:/home/cryptage#  ls -ls
+total 0
+lrwxrwxrwx 1 cryptage cryptage 56 déc.  29 11:47 Access-Your-Private-Data.desktop -> /usr/share/ecryptfs-utils/ecryptfs-mount-private.desktop
+lrwxrwxrwx 1 cryptage cryptage 52 déc.  29 11:47 README.txt -> /usr/share/ecryptfs-utils/ecryptfs-mount-private.txt
+root@u16042:/home/cryptage# </code>
+.
 ===== Désinstallation =====
@@ Ligne 196: / Ligne 236: @@
 === Methode automatique ===
+== Si tout se passe bien ==
 Pour récupérer très simplement **vos données personnelles**, il est possible d'utiliser l'outil **ecryptfs-recover-private**
@@ Ligne 213: / Ligne 255: @@
 </note>
+== Si vous obtenez l'erreur « échec de l’appel système mount(2) » ==
+Il peut arriver que la méthode automatique échoue sans qu'il soit nécessaire de passer par la méthode manuelle, voire que la méthode manuelle échoue elle aussi avec une erreur « échec de l’appel système mount(2) : Aucun fichier ou dossier de ce type.» (mount: mount(2) failed: No such file or directory)
+<code>
+usr@pc:~$ sudo ecryptfs-recover-private --rw /home/.ecryptfs/usr/.Private
+[sudo] Mot de passe de usr :
+INFO: Found [/home/.ecryptfs/usr/.Private].
+Try to recover this directory? [Y/n]:
+INFO: Found your wrapped-passphrase
+Do you know your LOGIN passphrase? [Y/n]
+INFO: Enter your LOGIN passphrase...
+Passphrase:
+Inserted auth tok with sig [a425d547696d4f7b] into the user session keyring
+mount: /tmp/ecryptfs.a2GHrSDE: échec de l’appel système mount(2) : Aucun fichier ou dossier de ce type.
+ERROR: Failed to mount private data at [/tmp/ecryptfs.a2GHrSDE].
+</code>
+Dans ce cas, il peut être nécessaire d'initialiser les clés ecryptfs de la manière suivante :
+<code>
+usr@pc:~$ sudo keyctl link @u @s
+</code>
+puis, tout simplement :
+<code>
+usr@pc:~$ sudo ecryptfs-recover-private --rw /home/.ecryptfs/usr/.Private
+INFO: Found [/home/.ecryptfs/usr/.Private].
+Try to recover this directory? [Y/n]:
+INFO: Found your wrapped-passphrase
+Do you know your LOGIN passphrase? [Y/n]
+INFO: Enter your LOGIN passphrase...
+Passphrase:
+Inserted auth tok with sig [a425d547696d4f7b] into the user session keyring
+INFO: Success!  Private data mounted at [/tmp/ecryptfs.sD45Yfu58].
+</code>
 === Méthode manuelle ===
@@ Ligne 221: / Ligne 299: @@
 Tout d'abord, il faut monter la partition /home dont on veut s'approprier le contenu planté pour qu'il soit accessible dans "/media". Puis
-sudo ecryptfs-unwrap-passphrase   /media/$USER/PointDeMontage/home/NomDeCeluiDontOnRécupèreLesDonnées/.ecryptfs/wrapped-passphrase
+<code>sudo ecryptfs-unwrap-passphrase   /media/$USER/PointDeMontage/home/NomDeCeluiDontOnRécupèreLesDonnées/.ecryptfs/wrapped-passphrase</code>
 (le mot de passe demandé est celui de la personne dont on souhaite récupérer les données. Il peut être nécessaire de négocier pour obtenir ce mot de passe!)
@@ Ligne 232: / Ligne 310: @@
 == Etape 2 : obtenir les 2 clés "fnek" ==
-  ecryptfs-add-passphrase --fnek
+<code> sudo ecryptfs-add-passphrase --fnek</code>
 (lorsque l'on vous demande la passphrase, il ne faut pas confondre avec votre mot de passe session, mettez la passphrase obtenue ci-dessus)
-On vous donne 2 clés, il faut copier l
+On vous donne 2 clés, il faut  les copier dans la commande suivante avant de la lancer.
-==  Etape 3 ==
-C'est le moment de monter le /home/Private de cet utilisateur
-<code>
-sudo ecryptfs-recover-private /media/$USER/PointDeMontage/home/NomDeCeluiDontOnRécupèrerLesDonnées/.Private
-INFO: Found [/media/$USER/PointDeMontage/home/NomDeCeluiDontOnRécupèrerLesDonnées/.Private].
-Try to recover this directory? [Y/n]:     ====>Répondre Y
-INFO: Found your wrapped-passphrase
-Do you know your LOGIN passphrase? [Y/n]   ====> Répondre Y
-INFO: Enter your LOGIN passphrase...
-Passphrase: ===> mettre le mot de passe de cet utilisateur dont on récupère les données
-Inserted auth tok with sig [0d0b91bec7818cc3] into the user session keyring
-INFO: Success!  Private data mounted at [/tmp/ecryptfs.RmgGrPQV].</code>
-== Etape 4 ==
-On récupérer les données
-<code> cd /tmp/ecryptfs.RmgGrPQV
- ls -ls
-total 16
--rw-rw-r-- 1 1001 1001   21 déc.  29 00:50 Fic
-drwxrwxr-x 2 1001 1001 4096 déc.  29 00:50 Toto
- cat Fic
-écrire dans fichier
-</code>
-==== Récupération du contenu d'un répertoire "Private" chiffré ====
+== Etape 3 : effectuer le montage du répertoire ==
-**Stocké dans sa propre partition.**
+<code>sudo mount -i -t ecryptfs -o rw,ecryptfs_sig=premier_keyring,ecryptfs_fnek_sig=deuxième_keyring,ecryptfs_cipher=aes,ecryptfs_key_bytes=16  /media/$USER/PointDeMontage/home/NomDeCeluiDontOnRécupèreLesDonnées/.Private     /media</code>
+Vérifier alors que les noms des fichiers sont bien lisibles!
+Si ce n'est pas le cas et que leur taille est indiquée avec les ??????, vous vous êtes trompés dans les jetons. Notez qu'aussitôt qu'une commande de montage a été réalisée (avec succès ou pas) les jetons sont éliminés. Il est donc nécessaire de rejouer ce trio de commandes.
+Ne pas oublier que la commande **ecrypt2fs-recover-private,** fait cette action mais en imposant le point de montage dans un répertoire aléatoire de /tmp...
+==== Récupération du contenu d'un utilisateur chiffré  ou de son dossier privé avec une autre instance====
 Dans le cas où vous auriez suivi l'installation d'ecryptfs au début de cette documentation, vous avez un répertoire nommé par défaut Private dans votre /home.
@@ Ligne 265: / Ligne 332: @@
 Il vous suffira alors d'utiliser votre passphrase comme à votre habitude, tout simplement.
-**Stocké dans la partition d'un autre utilisateur.**
+Si le disque contenant les données chiffrées est en bon état, il faut  installer le logiciel. ( Voir le chapitre 1), le configurer (Voir le chapitre 2)  puis monter la partition de cet utilisateur et ouvrir le répertoire en prenant le soin de remplacer **XN** par les bonnes valeurs..
-Il faut monter la partition de cet utilisateur. et ouvrir le répertoire en prenant le soin de remplacer XN par les bonnes valeurs..
 <code>sudo -i
-mount   -v   /dev/sdXN /mnt
+mount -v  /dev/sdXN /mnt
-ecryptfs-recover-private /mnt/home/NomDeCeluiDontOnRécupèreLesDonnées/.Private
+ecryptfs-recover-private  /mnt/home/.ecryptfs/NomDeCeluiDontOnRécupèreLesDonnées/.Private
 </code>
@@ Ligne 280: / Ligne 345: @@
 Il faut comprendre que c'est le mot de passe de l'un des utilisateurs qui sont stockés dans cette partition et dont vous essayez de récupérer les données chiffrées.
-Si vous connaissez le mot de passe de cet utilisateur, il faut répondre **Y**.
+Si vous connaissez le mot de passe de cet utilisateur, il faut répondre **Y** , la question suivante vous sera alors posée:
-La question suivante vous sera alors postée:
 __INFO: Enter your LOGGING passphrase...__
-__Passsphrase__:  Il faut alors frapper en aveugle le mot de passe de connexion de cet utilisateur.
+__Passsphrase__:  Il faut alors frapper en aveugle le mot de passe de connexion de cet utilisateur. La partition est alors montée.
-Si vous ne connaissez pas le mot de passe de cet utilisateur, il faut répondre **N**,
-La question suivante vous sera alors postée:
+Si vous ne connaissez pas le mot de passe de cet utilisateur, il faut répondre **N**, la question suivante vous sera alors posée:
 __INFO: Enter your MOUNT passphrase...__
-__Enter your MOUNT passphrase.__   Il faut alors frapper en aveugle la clé de montage de la partition que l'utilisateur vous aura communiquée.  C'est celle qu'il a choisie lors de l'installation.
+__Enter your MOUNT passphrase.__   Il faut alors frapper en aveugle la clé de montage de la partition que l'utilisateur vous aura communiquée.  C'est celle qu'il a choisie lors de l'installation. La partition est alors montée.
-Dans les deux contextes, le montage se fait en **lecture seule** sur le point de montage  /tmp/ecrpytfs.XXXXXXX
+Dans les deux contextes, le montage se fait en **lecture seule** sur le point de montage  /tmp/ecryptfs.XXXXXXX
-Vous pouvez accéder aux données
+Vous pouvez accéder aux données en lecture seulement.
 <code>
@@ Ligne 304: / Ligne 366: @@
 ls -ls
 cat *</code>
@@ Ligne 318: / Ligne 381: @@
   * **(en)** [[http://bodhizazen.net/Tutorials/Ecryptfs/]]
   * **(fr)** [[http://blog.rom1v.com/2010/05/chiffrer-son-dossier-personnel-home-sous-ubuntu/|Chiffrer son dossier personnel (/home) sous Ubuntu (®om's blog)]]
+  * **(en)** [[https://bugs.launchpad.net/ecryptfs|Anomalies connues]]
+  * **(fr)** [[https://kb-fr.sandisk.com/app/answers/detail/a_id/8251/~/page-dinformations-et-de-t%C3%A9l%C3%A9chargement-de-secureaccess-3.0|Ubuntu encore oublié par un grand fabriquant de matériel ]]
+  * **(en)** [[https://askubuntu.com/questions/659242/problem-with-ecryptfs-recover-private-mount2-failed~|Erreur mount avec ecryptfs-recover-private]]
+  * **(en)** [[https://bugs.launchpad.net/ubuntu/+source/ecryptfs-utils/+bug/1718658|La commande ecryptfs-mount-private échoue à initialiser les clés ecryptfs]]