Шифрование данных в Dropbox

⇡#Уж сколько раз твердили миру…

…что конфиденциальные данные нельзя доверять кому-либо. Вот и на днях разгорелся небольшой скандал вокруг сервиса Dropbox, который до этого уверял пользователей, что их файлы надёжно шифруются на серверах и никто посторонний не может получить к ним доступ. Увы, на самом деле сотрудникам компании всего лишь запрещается просто так просматривать пользовательские данные, а по соответствующему запросу из правоохранительных и не очень органов Dropbox готов предоставить любые файлы любого пользователя. Вылилось всё это в иск к компании. Да и в целом уже не первый год ведутся разговоры о том, что и сама архитектура сервиса не так надёжна, как казалось бы. Даже появляются утилиты, которые эксплуатируют, скажем так, не совсем очевидные возможности Dropbox. Проект, на который ведет предыдущая ссылка, кстати, закрылся под давлением юристов компании. Справедливости ради стоит отметить, что в официальной «вики» проекта есть страничка с советами по повышению безопасности хранимых данных.

Одним из них мы и воспользуемся — зашифруем свои данные в Dropbox с помощью EncFS. EncFS — это виртуальная криптографическая файловая система. Папка с зашифрованными файлами, которую мы будем хранить в Dropbox, монтируется в любую другу папку на компьютере пользователя, где все данные представляются в незашифрованном виде. То есть для конечного пользователя работа с файлами остаётся абсолютно прозрачной. Шифрование осуществляется с помощью ключей AES или Blowfish, при этом сам ключ также хранится в защищённой директории, а имена файлов и папок в ней при желании превращаются в нечитабельную абракадабру. Ещё одним преимуществом EncFS является лёгкая расширяемость, то есть нет ограничений на размер «тома» как в меньшую, так и в большую сторону.

Для ПО, работающего в связке с Dropbox, не менее важно и то, что, в отличие от, например, криптоконтейнеров, при изменении одного файла будет синхронизироваться только он, а не целый контейнер. В результате скорость синхронизации заметно возрастает. Наконец, EncFS кроссплатформенная и работает на Windows, Linux и Mac OS X. Мы рассмотрим настройку связки Dropbox+EncFS на всех трёх системах, но никто не мешает приспособить EncFS для шифрования любых других данных. Пожалуй, единственным серьёзным недостатком является невозможность использования мобильных клиентов и веб-интерфейса Dropbox для работы с зашифрованными папками.

⇡#Настройка EncFS в Windows

Для начала договоримся, что у нас уже установлен Dropbox на всех машинах и во всех ОС. Самый простой способ воспользоваться шифрованием — установить утилиты BoxCryptor для Windows XP/Vista/7. При первом запуске она определит наличие Dropbox и предложит хранить секретные данные именно в нём. Согласимся, нажав кнопку Yes.

Затем откроется окно настроек, где можно поменять расположение папки с зашифрованными данными и где необходимо указать букву логического диска, куда будет монтироваться EncFS.

После этого надо дважды ввести пароль для доступа к данным. На этом настройка закончена. Можно работать с новым виртуальным диском точно так же, как и с обычным, — копировать файлы, редактировать их, создавать папки и так далее. При выключении программы том будет автоматически размонтирован.

В бесплатной версии BoxCryptor можно создать логический том объёмом не более двух гигабайт, то есть ровно столько, сколько по умолчанию предоставляет Dropbox.

На данный момент BoxCryptor поддерживает только алгоритм AES 256-bit и не может шифровать имена файлов и папок, а также не поддерживает ряд других возможностей EncFS. В принципе, даже того уровня безопасности, который предоставляет эта утилита, должно хватать обычным пользователям.

Пример файла до и после шифрования

Альтернативный проект без ограничений по объёму шифруемых данных называется encfs4win. Как и BoxCryptor, он использует аналог FUSE под Windows Dokan (его надо будет скачать и установить) для монтирования сторонних ФС. Скачайте архив с программой и распакуйте его, например, в C:\Program Files\, а затем запустите encfsw.exe. В трее появится иконка с ключиком, по которой надо кликнуть правой кнопкой и выбрать в меню пункт Open/Create. Если у вас уже есть зашифрованная папка, то нужно будет указать путь до неё, а затем выбрать букву тома, куда будет монтироваться EncFS, и ввести пароль.

Создание нового тома происходит аналогичным образом. Выбираем Open/Create, указываем папку для шифрования, выбираем букву диска и дважды вводим пароль. Учтите, что при включении Set paranoia mode свежесозданный раздел не будет работать с BoxCryptor. После добавления или создания томов в том же меню появляются пункты для быстрого монтирования и размонтирования томов. В нём же можно поставить галочку Start at login, чтобы encfs4win автоматически запускалась при входе в систему.

⇡#Настройка EncFS в Linux

Для примера рассмотрим работу с EncFS в Ubuntu 11.04 как в наиболее популярном дистрибутиве Linux. Первым делом надо установить модуль EncFS и полезную утилиту Cryptkeeper. В консоли (Приложения → Стандартные → Терминал) вводим следующую команду:

sudo apt-get install encfs cryptkeeper

Нажимаем Enter, вводим пароль от учётной записи, снова жмём Enter и соглашаемся (Y, Enter) со всеми предложениями установщика.

Теперь запустим непосредственно Cryptkeeper, который находится в меню Приложения → Системные утилиты. В области уведомлений появится иконка с двумя серыми ключами, по которой надо кликнуть правой кнопкой мыши. Если у нас уже есть зашифрованная папка в Dropbox, то надо выбрать пункт «Импорт папки EncFS». Запустится мастер настройки. Выбираем нашу зашифрованную папку и жмём «Вперёд».

На следующем этапе надо выбрать папку, куда будет монтироваться том EncFS и где будут доступны файлы в незашифрованном виде. В поле «Имя» указываем название виртуального тома.

Нажимаем «Вперёд» — на этом настройка закончена.

В меню Cryptkeeper теперь появился пункт для быстрого монтирования тома EncFS.

Кликаем по нему, вводим пароль, и среди дисков появляется наш заветный расшифрованный том.

Создание нового тома EncFS ничуть не сложнее. В том же меню кликаем на пункт «Новая зашифрованная папка». С помощью мастера выбираем папку или создаём новую в директории Dropbox, которая лежит в домашнем каталоге, и жмём «Вперёд».

Дважды вводим пароль и снова нажимаем «Вперёд». Всё, теперь можно быстро смонтировать свежесозданный том всё из того же меню Cryptkeeper.

⇡#Настройка EncFS в Mac OS X

В Mac OS X процедура настройки чуть сложнее, чем в других ОС. Мы воспользуемся системой портов MacPorts, но перед этим надо будет поставить среду разработки XCode. В принципе, совершенно необязательно качать последнюю версию XCode, которая вкупе с SDK для iOS стала уж больно увесистой. Достаточно обойтись версией 3.2.1, dmg-образы которой легко можно найти в Сети. При установке надо будет обязательно отметить пункт UNIX Dev Support (Unix Development).

Затем необходимо установить MacPorts, скачав инсталлятор отсюда.

Теперь надо запустить терминал (Программы → Служебные программы) и выполнить в нём пару команд. Обратите внимание, что для корректной работы sudo необходимо, чтобы у аккаунта администратора был установлен пароль. Возможно, придётся дополнительно установить MacFUSE, хотя он и входит в MacPorts.

sudo port -v selfupdate
sudo port install encfs;

Потребуется подождать какое-то время, пока соберутся и установятся нужные программы. Создайте заодно папку в любом месте на диске (например, в домашнем каталоге ~), где будут доступны расшифрованные данные. Для монтирования EncFS в терминале надо выполнить следующую команду и ввести пароль.

encfs ~/Dropbox/зашифрованная_папка/ /незашифрованная_папка/ -ovolname=любое_имя_тома

Точно такой же командой создаётся и новый том EncFS. Разве что потребуется предварительно создать папку в Dropbox для приватных данных. Вначале будет предложено настроить параметры EncFS. Проще всего выбрать режим Paranoia, введя p и нажав Enter. Опять-таки, с BoxCryptor такой том работать не будет. Затем надо дважды ввести пароль для шифрования данных.

На этом настройка закончена. Для размонтирования томов EncFS надо ввести в терминале команду:

umount /путь/до/незашифрованной/папки/

⇡#Заключение

Как видите, настроить шифрование в Dropbox не так уж сложно. Впрочем, надо понимать, что причиной множества проблем с безопасностью, как правило, является прослойка между стулом и монитором, как бы грубо это ни звучало. Какой толк от очень стойкого пароля, который бережно переписан на стикер, наклеенный на монитор? В общем, будьте разумны и не доверяйте хранение важной информации кому бы или чему бы то ни было. И тогда ваши нервы будут гладкими и шелковистыми.