Ẩn toàn bộ file hệ thống như thế nào
Mã hoá file đơn giản có ích lợi riêng của nó, nhưng đôi khi sẽ còn ích lợi
hơn nếu mã hoá được toàn bộ file hệ thống hoặc mã hoá toàn bộ ổ đĩa.
Như trong trường hợp bạn cần bảo vệ một tập hợp lớn các file, hoặc đôi
khi không chỉ bảo vệ mà bạn còn cần ẩn toàn bộ sự hiện diện của dữ liệu
nhạy cảm trước những con mắt tò mò. Trong những trường hợp như
vậy, giải pháp nào hữu hiệu cho bạn? Bài này sẽ cung cấp một số lựa
chọn giúp bạn bảo vệ an toàn hơn cho hệ thống của mình.
Nếu đã có một phân vùng hay ổ đĩa mã hoá chuyên dụng, cái bạn cần bây giờ
chỉ là một mật khẩu hoặc khoá giải mã để mở tất cả các file được bảo vệ. Một
số giải pháp thậm chí cho phép bạn mã hoá cả phân vùng gốc và phân vùng
trung gian. Song, có một số nhược điểm là đôi khi tốc độ thực thi bị giảm
đáng kể (và đáng tiếc, đây lại là một trong các tiêu chí đánh giá bảo mật). Sự
thật là, nếu một kẻ tấn công nào đó tìm ra khoá giải mã của bạn (hoặc có khi
do chủ nhân sơ ý để lộ) thì bạn có thể nói lời tạm biệt với tất cả các file được
bảo vệ của mình.
Thiết bị lặp vòng và dm-crypt
Hiện nay, phương thức chính được sử dụng trong mã hoá file hệ thống ở nhân
Linux là trình điều khiển thiết bị lặp vòng và hệ thống ánh xạ thiết bị (sử
dụng đích dm-crypt). Nếu bạn có ý định sử dụng thiết bị lặp vòng thì loop-
AES là lựa chọn tốt nhất. Đó là một trong các phương thức mã hoá đĩa cứng
hoàn chỉnh nhất dành cho Linux và file hướng dẫn README thông minh của
nó cung cấp một số ví dụ thực đáng kể trong mã hoá file hệ thống.
Dm-crypt được đóng gói với loạt kernel 2.6 và cung cấp khả năng thực thi tốt
hơn, bảo mật hơn trình điều khiển thiết bị lặp vòng. Thành phần của nó cũng
phong phú hơn.
Dự án sử dụng dm-cryp nhiều triển vọng nhất hiện nay dường như là LUKS.
Mục đích của dự án là cung cấp một kiểu định dạng trên đĩa tiêu chuẩn, giúp
việc chuyển dời dữ liệu được bảo vệ giữa các phân phối dễ dàng hơn. Bên
cạnh đó, nó cung cấp chương trình quản lý đa khoá (một mở rộng lớn) và các
phân vùng mã hoá có thể được truy cập trong Windows qua FreeOTFE (mở
rộng thậm chí còn lớn hơn).
Các phương thức sử dụng FUSE
Hai ứng dụng khác lại có đường lối khác. Cả CryptoFS và EncFS đều là file
hệ thống được mã hoá chạy trên đầu FUSE, tức một gói cho phép người dùng
tạo file hệ thống trong không gian người dùng và thao tác với nó mà không
cần phải có đặc quyền root cùng với nhiều thứ khác. Với các ứng dụng này,
file (và tên của chúng) được mã hoá và chứa trong một thư mục bình thường.
Người dùng phải chọn thư mục khác với vai trò như một điểm đặt cho file hệ
thống được mã hoá: dữ liệu mã hoá sẽ được giải mã ở đó, sử dụng một khoá
giải mã. Nếu không có khoá giải, sẽ không có cách nào mở được thư mục với
các file đã được giải mã.
CryptoFS và EncFS đạt được tỷ lệ cân bằng tốt giữa bảo mật và sự tiện lợi
trong sử dụng cho người dùng. Các file hệ thống được tạo với FUSE có thể
tăng lên bất kỳ độ lớn nào, tương phản với phương thức lặp vòng đòi hỏi phải
tạo phân vùng với kích thước cố định. Tuy nhiên, với đối tượng người dùng
cẩn thận thì họ nhận thấy có một nhược điểm lớn trong sử dụng file hệ thống
FUSE là: nếu nhìn vào bên trong thư mục thông thường, bất kỳ ai cũng sẽ
vẫn thấy tổng số file mã hoá là bao nhiêu, tính toán được kích thước thực của
chúng và kiểm tra quyền hạn có thể có.
Một nghiên cứu mới đây so sánh giữa EncFS và CryptoFS với LUKS chỉ ra
rằng LUKS “cao tay” hơn trong thực thi file.
eCryptfs
Một lựa chọn khác có xu hướng ngược lại trong
nhân Linux là eCryptfs. Bạn sẽ cần đến mô-đun
kernel và các tiện ích không gian người dùng để
cài đặt và sử dụng nó. eCryptfs cung cấp một hệ thống file mã hoá ngăn xếp,
nghĩa là nó làm việc phía trên của một hệ thống file khác đã có trước đó và
ngăn xếp lời gọi của nó (bởi vậy, một số file hệ thống như XFS có thể là
nguyên nhân gây ra nhiều vấn đề).
Một điểm cải tiến khi dùng eCryptfs đủ cho bạn an tâm là: eCryptfs là một
kiểu hệ thống file tự nhiên trong Linux và không cần hoạt động qua các lời
gọi FUSE hay RPC. Như thế có nghĩa là nó có ít phụ thuộc hơn và dễ dàng
phát triển hơn. Siêu dữ liệu mật mã của mỗi file được lưu trữ trong phần tiêu
đề của chúng, giúp việc chuyển dịch dữ liệu và sao lưu dễ dàng hơn. Các