Introducción

Aunque tenemos todo el sistema de permisos inherente de Linux (y cualquier Unix), eso puede ser útil por si nos roban físicamente el disco duro. O si somos algo descuidados y se puede arrancar mediante CD-ROM, pasarle parámetros a nuestro Kernel, etc.

Aquí explicaremos como usar los sistemas de ficheros cifrados en un Kernel 2.6.1 (aunque en cualquier 2.6.x debería ser muy parecido, hasta con los 2.4.x y con los parches de http://www.kerneli.org.

Compilación del Kernel

Deberemos ir a la configuración del Kernel en el apartado Cryptographic options y activar los algoritmos de cifrado que deseemos. Útiles para hacer algunas pruebas podrian ser NULL, MD5, DES and Triple DES, Blowfish aunque podemos poner más. Los seleccionaremos, al menos de momento, todos como módulos.

También tenemos que ir en Device Drivers, después el menú Block devices y marcar la opción Loopback device support con la opción, como módulo de Cryptoloop Support.

Y herramientas de usuario

Como nota curiosa, con el paquete mount que viene en Debian Sid, no hay problema para cifrar con el algoritmo blowfish pero en cambio con otros algoritmos no podremos hacerlo (nos dará un error)

Montando un fichero... sin cifrar

Los pasos para montar el fichero pasando por el dispositivo de loopback y sin cifrar serian:

dd if=/dev/zero of=fichero.ext2 bs=1M count=100
De esa forma hacemos un fichero "en blanco" de 100 MB.

losetup /dev/loop0 fichero.ext2
Ahora hemos asociado el /dev/loop0 al fichero.ext2. Lo podemos comprobar si ejecutamos:

pinux:/mnt/dades# losetup /dev/loop0
/dev/loop0: [0308]:3 (fitxer.cripto)

Después, como siempre en las particiones podemos hacer: mount -t ext2 /dev/loop0 prueba/
Para comprobar que ha ido bien, ejecutamos mount y veremos una línea como:

/dev/loop0 on /mnt/dades/prueba type ext2 (rw)

Montando un fichero... cifrado

Para crear el fichero, esa vez es mejor hacerlo así:
dd if=/dev/urandom of=fichero bs=1M count=10
(de esa forma no será todo "nulos", sinó que contendrá datos aleatorios desde el principio)

Seguidamente haremos:
losetup -e blowfish /dev/loop0 fichero.ext2
Donde nos pedirá la contraseña para el sistema de ficheros.

Después lo podemos formatear como antes y montar de forma normal:

mkfs -t ext2 /dev/loop0
mount -t ext2 /dev/loop0 prueba/

Cuando terminemos:

umount /dev/loop0
losetup -d /dev/loop0

losetup -e blowfish /dev/loop0 fichero.ext2
mount -t ext2 /dev/loop0 prueba/

Al ejecutable losetup le podemos pasar el algoritmo de cifrado y también el número de bits que queremos que se usen para el cifrado. Por ejemplo, valores válidos pueden ser des-64 3des_ede-192 blowfish-32 blowfish-256 twofish-256, etc. Cuantos más bits de cifrado, el algoritmo es más seguro pero también más lento.

Lo hemos hecho con ext2 pero lo podemos hacer con cualquier otro sistema de ficheros. Pero si lo hicieramos con ReiserFS recordar que él ya usa 30MB para hacer el Journaling, que en una partición normalmente no tiene mayor importancia pero si estamos haciendo un fichero de 50MB o 100MB puede ser demasiado.

Hay información de los sistemas de cifrado (a medida que vamos cargando más módulos) en /proc/crypto

¿Y la velocidad?

pinux:/mnt/dades# hdparm -t /dev/hda

/dev/hda:
 Timing buffered disk reads:   50 MB in  3.08 seconds =  16.22 MB/sec
 pinux:/mnt/dades# hdparm -T /dev/hda

/dev/hda:
 Timing buffer-cache reads:   756 MB in  2.00 seconds = 377.11 MB/sec
 pinux:/mnt/dades#

Copiarlo dentro de un fichero con losetup, tarda más o menos lo mismo (unos 19-20 segundos).

Ya por último, en des-64, blowfish-32, blowfish-256, twofish-256, etc. tarda aproximadamente lo mismo (20-21 segundos; puede llegar a 22-23 segundos con twofish).

Y con 3des_ede-192 tarda unos 31 segundos aproximadamente (un 50% más que los otros).

La prueba es tan simple que no se pueden sacar conclusiones más allá que para un uso normal de los datos no penaliza mucho. Por ejemplo, se podria tener sin mucho problema el ~/mail y algun otro directorio montados de esa forma y trabajar de forma habitual.

A pesar de que el metodo de montar y desmontar , es cierto que se hace un poco complejo