Dateien und Ordner mit Blowfish verschlüsseln... Crypt::Blowfish? (Allgemeines zu Perl)

[thread]17254[/thread]

Dateien und Ordner mit Blowfish verschlüsseln... Crypt::Blowfish?

Tags: perl5 Ähnliche Threads

Leser: 25

Articles: hide open all | hide show old branches

+11 replies
Nordlicht

2012-03-21 05:03

User since
2005-10-16
182 Artikel
BenutzerIn

Moin,

Ich würde gerne Dateien und Ordner mit Blowfish verschlüsseln und wollte mal fragen ob Jemand ne Idee hat, wie das gehen könnte...?!

Also Text verschlüsseln geht ja mit dem o.g. Modul sehr einfach, aber Dateien? Kann man z.B. ein PDF-Dokument auch so verschlüsseln?

Gruß, Nord.
- Molaf
  
  2012-03-21 06:54
  
  User since
  2007-10-11
  119 Artikel
  BenutzerIn
  
  Hallo,
  
  was spräche dagegen alle Dateien in ein Tar-Gz zu stecken und dieses dann einzulesen und das genauso wie Text zu verschlüsseln.
  Also zusetzlich zu dem, was Du schon gemacht hast noch einen system()-Aufruf hinzu und eine Dateioperation (und später eine zweite zum Schreiben auf Platte).
  
  Gruß,
  Molaf
- GwenDragon
  
  2012-03-21 14:35
  
  User since
  2005-01-17
  14533 Artikel
  Admin1
  
  Ordner selbst kannst du nicht mit Crypt::Blowfish verschlüsseln.
  Um Ordner im Dateisystem zu schützen, brauchst du entweder ein verschlüsseltes Dateisystem siehe Artikel http://www.linux-community.de/Internal/Artikel/Pri...
  oder einen verschlüsselten Container sozusagen als eigene Disk wie mit TrueCrypt erzeugbar.
  
  Meinst du die Dateien im Ordner?
  Du kannst doch mit File::Find die Dateien einlesen und dann mit einem Aufruf einen eigenen Subroutine, die enrcypt von Crypt::Blowfish verwendet, verschlüsseln.
  Weißt du was ich meine?
  Last edited: 2012-03-21 14:36:52 +0100 (CET)
  die Drachin, Gwendolyn
  
  Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
- murphy
  
  2012-03-21 15:11
  
  User since
  2004-07-19
  1776 Artikel
  HausmeisterIn
  
  Du kannst eine Datei einfach in einen String einlesen, selbigen verschlüsseln und dann wieder in eine Datei schreiben. Wenn Du mehrere Dateien verschlüsseln willst, kannst Du sie in ein Archiv verpacken und dieses verschlüsseln.
  
  Generell ist zur Verschlüsselung von Dateien oder anderen größeren strukturierten Datenmengen folgendes anzumerken:
  
  Zum einen sollte man die Daten unbedingt komprimieren, bevor man sie verschlüsselt, denn das vergrößert die anscheinende Entropie des Klartextes und erschwert Angriffe, die bekannte Klartextbestandteile auszunutzen versuchen, was bei Dateien, die oft gleichbleibende Strukturen wie Kopfdaten enthalten, besonders wichtig ist.
  
  Zum anderen darf man auf gar keinen Fall den gleichen Schlüssel mehrfach für verschiedene Daten verwenden, damit macht man jedes Verschlüsselungsverfahren deutlich unsicherer. Den gleichen Schlüssel für zu große Datenmengen zu verwenden ist auch problematisch. Daher ist es wichtig, für eine Blockverschlüsselung den richtigen Betriebsmodus zur Verschlüsselung großer Datenmengen zu wählen. Wenn man nicht Teile des verschlüsselten Datensatzes getrennt vom Rest austauschen können muss, wie das zum Beispiel bei einem verschlüsselten Dateisystem der Fall wäre, sondern nur den gesamten Datensatz wieder entschlüsseln können muss, wie es bei einem verschlüsselten Archiv möglich wäre, dann ist z.B. der CBC-Modus eine bewährte Alternative.
  
  Schließlich sollte man für eine symmetrische Verschlüsselung wie Blowfish natürlich einen möglichst zufälligen Schlüssel wählen, das heißt z.B., dass es eine ganz blöde Idee ist, irgendein Passwort direkt als Schlüssel zu verwenden, ohne es zunächst durch einen Schlüsselableitungsalgorithmus zu schicken. Und wenn es auch nur eine gewisse Wahrscheinlichkeit gibt, dass man jemals das gleiche Passwort wiederverwendet, dann sollte man den Schlüsselableitungsalgorithmus oder den Verschlüsselungsalgorithmus (je nachdem welches der Verfahren dafür ausgelegt ist) mit einem Initialisierungsvektor aus echten Zufallsdaten salzen.
  
  Übrigens empfiehlt der Erfinder von Blowfish ja, diesen Algorithmus nicht mehr zu verwenden. Ich persönlich würde, wenn ich ein ähnliches Design aber doch einen moderneren Algorithmus haben wollte, Twofish hernehmen. Man kann aber natürlich auch einen der anderen AES-Finalisten nutzen, zum Beispiel wäre Serpent wegen seiner hohen Geschwindigkeit bei einer Implementation in Software interessant.
  When C++ is your hammer, every problem looks like your thumb.
- +7 replies
- hlubenow
  
  2012-03-21 17:33
  User since
  2009-02-22
  875 Artikel
  BenutzerIn
  Unter Linux nutze ich noch ein altes Verfahren mit einem Container.
  Dabei gibt man nacheinander (als root) folgende Befehle ein (läßt das also nicht als Skript durchlaufen, sondern prüft jeweils, ob der einzelne Befehl klappt):
  
  Code: (dl )
  
  1 2 3 4 5 6 7
  
  modprobe twofish modprobe cryptoloop dd if=/dev/urandom of=/home/user/cryptfile bs=1024 count=20000 mkdir /home/user/safe losetup -e twofish256 /dev/loop0 /home/user/cryptfile mke2fs /dev/loop0 mount -t ext2 /dev/loop0 /home/user/safe
  
  "/home/user/cryptfile" wird hier 20MB groß, man kann aber auch andere Größen erzeugen.
  Last edited: 2012-03-21 17:34:58 +0100 (CET)
  - +6 replies
  - murphy
    
    2012-03-21 17:56
    
    User since
    2004-07-19
    1776 Artikel
    HausmeisterIn
    
    Wenn man verschlüsselte Blockgeräte haben will, sollte man sich für Linux den inzwischen etablierten Standard LUKS ansehen. Oder, wenn man etwas noch portableres braucht, würde sich TrueCrypt anbieten. Auch ein verschlüsseltes Dateisystem wie eCryptfs könnte interessant sein.
    
    Das alte Cryptoloopsystem zu verwenden, wie hlubenow schreibt, ist meiner Meinung nach nicht so sinnvoll, da es viel unbequemer zu handhaben ist als die oben erwähnten Tools und im Gegensatz zu diesen keinerlei Informationen über das Setup der Verschlüsselung im Container speichert, so dass man extern noch allerhand Daten aufbewahren muss, die beschreiben wie man den Container später wieder korrekt öffnen kann.
    When C++ is your hammer, every problem looks like your thumb.
    - +5 replies
    - hlubenow
      
      2012-04-03 17:20
      
      User since
      2009-02-22
      875 Artikel
      BenutzerIn
      
      2012-03-21T16:56:29 murphy
      Das alte Cryptoloopsystem zu verwenden, wie hlubenow schreibt, ist meiner Meinung nach nicht so sinnvoll, da es viel unbequemer zu handhaben ist als die oben erwähnten Tools und im Gegensatz zu diesen keinerlei Informationen über das Setup der Verschlüsselung im Container speichert, so dass man extern noch allerhand Daten aufbewahren muss, die beschreiben wie man den Container später wieder korrekt öffnen kann.
      
      Bei meinem Vorschlag macht man noch einen Eintrag in "/etc/fstab":
      
      Code: (dl )
      
      /home/user/cryptfile /home/user/safe ext2 loop,encryption=twofish256,noauto,user 0 0
      
      Dann kann man den Safe mounten wie jedes andere Dateisystem.
      
      Ich hab' mir jetzt auch mal LUKS/cryptsetup angesehen: Die unter 2.3 im FAQ gezeigte Methode ist nicht viel einfacher als die obige alte.
      
      "man cryptsetup" sagt:
      
      Quote
      However if the device argument is file, cryptsetup tries to allocate loopback device and map it into this file. This mode requires Linux kernel 2.6.25 or more recent which supports loop autoclear flag(loop device is cleared on last close automatically).
      
      Die alte Methode hatte ich dagegen auch schon auf 2.4-Kerneln (SuSE 8.1).
      
      Der Anfang der FAQ ist auch nicht gerade vertrauenerweckend:
      
      Quote
      By far the most questions on the cryptsetup mailing list are from people that managed to damage the start of their LUKS partitions, i.e. the LUKS header. In most cases, there is nothing that can be done to help these poor souls recover their data.
      
      Man will ja nun nicht, daß seine Daten verlorengehen, und jedesmal ein Backup ist ja auch nicht so schön.
      Weiß nicht, ob die alte Methode da besser ist (scheint ja ein ext2-System zu sein), jedenfalls gibt's da keinen Meta-Header, den man vernichten könnte.
      Insofern, die alte Methode geht auch noch unter OpenSuSE 12.1, und da ich damit bisher ganz gute Erfahrungen habe, werde ich das wohl weiter so machen.
      - +4 replies
      - murphy
        
        2012-04-03 23:45
        
        User since
        2004-07-19
        1776 Artikel
        HausmeisterIn
        
        2012-04-03T15:20:13 hlubenow
        [...]
        Der Anfang der FAQ ist auch nicht gerade vertrauenerweckend:
        
        Quote
        By far the most questions on the cryptsetup mailing list are from people that managed to damage the start of their LUKS partitions, i.e. the LUKS header. In most cases, there is nothing that can be done to help these poor souls recover their data.
        
        Man will ja nun nicht, daß seine Daten verlorengehen, und jedesmal ein Backup ist ja auch nicht so schön.
        [...]
        
        Wenn man einfach Müll direkt in eine Partition schreibt, dann braucht man sich natürlich nicht wundern, wenn danach das Dateisystem, der Cryptocontainer oder was auch immer darin lag irreparabel beschädigt ist.
        
        Quote
        Weiß nicht, ob die alte Methode da besser ist (scheint ja ein ext2-System zu sein), jedenfalls gibt's da keinen Meta-Header, den man vernichten könnte.
        
        Die alte Methode ist auch insofern schlechter, als man hier gar nicht feststellen kann, ob der Container beschädigt wurde oder ob man einfach das Cryptoloopdevice falsch konfiguriert hat. Ob ein LUKS-Header noch intakt ist, kann man wenigstens zweifelsfrei prüfen.
        
        Wenn in Deinem Beispiel irgendwer aus Versehen statt encryption=twofish256 eine andere Option zum Erstellen des Cryptoloopdevices einträgt, dann wird das System das klaglos ausführen und hinterher nur Datenmüll von dem Gerät liefern, so dass man es wahrscheinlich nicht mehr mounten kann. Sollte man also die Information verlegt haben, welche Algorithmuskonfiguration man verwendet hatte, so geht das muntere Raten los. Bei einem LUKS-Container hingegen ist sichergestellt, dass immer die Algorithmen für Keyderivation, Verschlüsselung etc. verwendet werden, die schon beim Erzeugen des Containers angegeben wurden.
        
        Der Dateisystemtyp, in Deinem Beispiel ext2, hat im Übrigen rein gar nichts mit der Konfiguration des Cryptocontainers zu tun.
        
        Quote
        Insofern, die alte Methode geht auch noch unter OpenSuSE 12.1, und da ich damit bisher ganz gute Erfahrungen habe, werde ich das wohl weiter so machen.
        
        Rückwärtskompatibilität ist natürlich ein guter Grund, bei alten Methoden zu bleiben.
        When C++ is your hammer, every problem looks like your thumb.
        
        +3 replies
        
        Nordlicht
        
        2012-04-04 12:40
        
        User since
        2005-10-16
        182 Artikel
        BenutzerIn
        
        Jau, danke für die Antworten. Meine Fragen sind mehr als beantwortet ^^
        
        +2 replies
        
        GwenDragon
        
        2012-04-04 16:00
        
        User since
        2005-01-17
        14533 Artikel
        Admin1
        
        Und wie löst du es?
        die Drachin, Gwendolyn
        
        Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
        
        Nordlicht
        
        2012-04-06 17:17
        
        User since
        2005-10-16
        182 Artikel
        BenutzerIn
        
        Ich benutze ein Archiv in das ich alles packe, lese dann den String ein und verschlüssel den... scheint mir ne gute, relativ einfache Lösung zu sein...

View all threads created 2012-03-21 05:03.