ecryptfs - отношение введенной пользователем кодовой фразы к FEKEK при установке вручную

Question

Я пытался настроить зашифрованную папку в соответствии с инструкциями в https://wiki.archlinux.org/index.php/ECryptfs#Without_ecryptfs-utils. В этом случае кодовая фраза монтируется вручную и завершается с использованием выбранного пароля («Арка» в этом примере). Это работает как ожидалось.

Есть еще одна возможность, как вручную настроить вещи. А именно с помощью простого монтирования, например: крепления -t ecryptfs ~/.Private/~/секретный ключ -o = кодовая фраза, ecryptfs_cipher = АЕС, ecryptfs_key_bytes = 32, ecryptfs_passthrough = п, ecryptfs_enable_filename_crypto = у

В этом случае я запросил пароль [password] и после того, как эта папка смонтирована.

Мой вопрос: где кодовая фраза монтирования скрыта во втором примере? И как мой введенный [пароль] связан с ним и с FEKEK в этом случае.

Не могли бы вы объяснить это?

Заранее спасибо.

Answer 1

Я думаю, вводимая ключевая фраза становится «ключ шифрования файла, ключ шифрования, или FEKEK» самих, и временно хранятся в связках ядра (брелок суперпользователя, если вам нужно монтировать с sudo), а папка монтируются , Вы можете увидеть брелок перед & после монтажа & размонтировать sudo keyctl show.

Он не хранит кодовую фразу/FEKEK в любом месте на диске, в отличие от метода «Без ecryptfs-utils» в ArchWiki, который вам понравился, и тот, что указан в ecryptfs-utils ниже.

---

FYI, используя ecryptfs-Utils инструментов создадут случайную (16 байт) кодовую фразу для использования, если вы не указали свою ключевую фразу, и это, очевидно, является ключом шифрования файлов (FEKEK)/FNEK.

Глядя в пару из ecryptfs-Utils инструментов (некоторые из них являются скриптами) внутри ecryptfs-migrate-home собирают некоторые данные и вызовы ecryptfs-setup-private, который имеет эту функцию для создания более безопасные 16 байт случайной ключевой фразы/FEKEK/FNEK (т.е. затем получает «завернутый»/зашифрованный с помощью вашей кодовой фразы и сохраненный на диске):

random_passphrase() { 
     bytes=$1 
     # Pull $1 of random data from /dev/urandom, 
     # and convert to a string of hex digits 
     od -x -N $bytes --width=$bytes /dev/urandom | head -n 1 | sed "s/^0000000//" | sed "s/\s*//g" 
}