®om's blog { un blog libre }

Chiffrer son dossier personnel (/home) sous Ubuntu

Ubuntu permet d’activer le chiffrement du dossier personnel lors de l’installation, grâce à eCryptfs.

Pourquoi chiffrer son dossier personnel ?

Parce que les documents personnels sont… personnels.

La demande du mot de passe à la connexion ou lors de la sortie de mise en veille ne protège absolument pas les données : il suffit de booter sur un LiveCD pour récupérer les données en clair très simplement.

Ces données peuvent être de toutes sortes :

  • des photos de vacances ;
  • l’historique de comptes en banque ;
  • les scans de documents administratifs ;
  • des mails ;
  • le contenu de discussions en messagerie instantanée ;
  • l’historique de navigation ;
  • les mots de passe enregistrés ;
  • bien d’autres choses…

Quand on sait que certains se font voler leur identité pour bien moins que ça… Vous me direz, certains n’ont pas besoin de se faire voler leurs données, ils donnent volontairement tous leurs mails privés à Google et plein d’autres infos à Facebook, alors… </troll>

Stockage des mots de passe

Je souhaiterais faire une parenthèse sur le stockage des mots de passe (sur un disque dur non chiffré).

Sur un système GNU/Linux, a priori il y a un trousseau de clés. Les logiciels peuvent l’utiliser pour enregistrer les mots de passe de manière sûre, en les chiffrant par une passphrase (par défaut le mot de passe du compte). C’est le cas par exemple d’Evolution, d’Empathy, de Gwibber… Pour voir les mots de passe enregistrés, il suffit d’ouvrir Applications > Accessoires > Mots de passe et clés de chiffrement.

Mais il y a un grand absent dans la liste des logiciels qui le gèrent : Firefox. Firefox enregistre les mots de passe quasiment en clair ; c’est dommage, c’est à lui qu’on donne la majorité de nos mots de passe. Du coup, si j’accède à un disque dur non chiffré, je peux récupérer tous les mots de passe enregistrés dans Firefox. D’ailleurs, c’est très simple : Édition > Préférences > Sécurité > Mots de passe enregistrés… > Afficher les mots de passe (ça devrait inciter les gens à verrouiller leur session quand ils s’absentent plus de 5 secondes). Il y a bien une option “Utiliser un mot de passe principal”, mais comme il n’est pas intégré au système, il faut le renseigner une fois par session Firefox (en plus du mot de passe système donc). Cela suffit à dissuader de l’activer.

Je ne sais pas si c’est prévu pour Firefox 4.0, mais je pense que la sécurité des mots de passe aurait été plus utile que des thèmes à la manière de WinAmp il y a 10 ans (pardon on dit des personas)…

Ceci donne un argument de plus pour chiffrer son dossier personnel… Parenthèse fermée.

Mise en place du chiffrement

Pour activer le chiffrement du dossier personnel lors de l’installation, il suffit de choisir la bonne option :

ubuntu-install-ecryptfs

(je vous conseille aussi d’utiliser une partition séparée pour /home)

Et voilà, c’est tout.

Enfin, pas tout-à-fait, car quand on chiffre ses données, il est certes important qu’elles soient protégées, mais il y a quelque chose d’encore plus important, c’est qu’elles soient récupérables…

Nous allons donc voir comment ça fonctionne, comment récupérer les données, ce à quoi il faut faire attention, etc.

Principe

Le système utilise une clé (une passphrase) pour chiffrer toutes les données avant de les écrire sur le disque. Elle est générée automatiquement, et devra être notée quelque part (sur un bout de papier à garder précieusement). Cette clé est elle-même chiffrée par une passphrase, qui est le mot de passe du compte utilisateur. Ainsi, lors de la connexion de l’utilisateur, la clé pourra être déchiffrée et utilisée pour lire et écrire des données.

Il faut bien distinguer ces deux passphrases :

  • la première est la passphrase de montage : c’est elle qui permet de monter et d’utiliser le répertoire chiffré ;
  • la seconde est la passphrase de login : c’est elle qui permet de déchiffrer la première, lors de la connexion de l’utilisateur.

Tant que vous connaissez la passphrase de montage, vous pourrez récupérer vos données. Si vous connaissez uniquement la passphrase de login, vous pourrez normalement récupérer la passphrase de montage (mais c’est plus sûr de garder dans un coin la passphrase de montage, car on peut effacer involontairement le fichier permettant de faire le lien). Si vous ne connaissez aucune des deux, vos données sont définitivement perdues…

Physiquement, les dossiers chiffrés sont stockés dans /home/.ecryptfs/USER/.Private. Les données servant au chiffrement et au déchiffrement sont dans /home/.ecryptfs/USER/.ecryptfs. Le répertoire /home/USER, quant à lui, n’existe pas physiquement : c’est juste une “vue” déchiffrée du répertoire .Private.

Remarque : les noms de fichiers étant eux-aussi chiffrés, ils ne comportent physiquement pas le même nombre de caractères que le nom de fichier “en clair” (d’autant plus qu’ils contiennent un préfixe). Ceci a une conséquence : en EXT4 les noms de fichiers ne doivent pas dépasser 256 caractères, mais un nom de fichier “en clair” d’environ 140 caractères entraîne un nom de fichier chiffré de 256 caractères. Les noms de fichiers sont donc limités à environ 140 caractères sur un dossier chiffré…

Connaître la passphrase de montage

Une fois le système démarré, il est possible de connaître la passphrase de montage :

$ ecryptfs-unwrap-passphrase
Passphrase: (entrer ici la passphrase de login)
6ebf259226f1d0859e707eb4349a9476

D’ailleurs, lors du premier démarrage, Ubuntu vous demandera d’exécuter cette commande et de noter quelque part le résultat.

Pour récupérer cette passphrase sans que le système en question soit démarré (par exemple en accédant à la partition à partir d’un LiveCD), il faut préciser le fichier qui contient la passphrase de montage chiffréer :

$ ecryptfs-unwrap-passphrase /media/DISK/.ecryptfs/USER/.ecryptfs/wrapped-passphrase
Passphrase: (entrer ici la passphrase de login)
6ebf259226f1d0859e707eb4349a9476

Changer la passphrase de login

On ne peut pas changer facilement la passphrase de montage, car il faudrait alors rechiffrer toutes les données. Par contre, la passphrase de login peut être aisément changée (puisque seule la passphrase de montage sera à rechiffrer).

En pratique, ce changement est fait automatiquement lors d’un changement de mot de passe du compte utilisateur.

Pour la changer manuellement (attention, il ne sera plus possible de démarrer correctement si la passphrase de login ne correspond pas au mot de passe de connexion) :

$ ecryptfs-rewrap-passphrase /home/.ecryptfs/USER/.ecryptfs/wrapped-passphrase
Old wrapping passphrase: (entrer ici l'ancienne passphrase de login)
New wrapping passphrase: (entrer ici la nouvelle passphrase de login)

Réinstaller le système d’exploitation

Pour réinstaller le système d’exploitation (par exemple pour y mettre une nouvelle version d’Ubuntu) en conservant son dossier personnel chiffré, il faut bien sûr avoir le /home sur une partition séparée, ne pas la formater lors de la nouvelle installation, mais il faut aussi utiliser le même login et le même mot de passe de connexion. Si vous respectez cette règle, vous n’avez rien de particulier à faire, tout est transparent.

Si vous avez changé le mot de passe, l’installation se déroule normalement sans avertissement, mais une fois le système installé, vous ne pourrez pas vous connecter (car vous n’avez pas de /home accessible). Si cela vous arrive, ce n’est pas bien grave, allez dans un TTY (Ctrl+Alt+F1), connectez-vous et changez manuellement votre passphrase de login (comme expliqué dans la section ci-dessus) pour la faire correspondre à votre mot de passe de connexion. Votre ancienne passphrase de login vous sera demandée.

Si malheureusement vous ne vous souvenez plus de votre ancienne passphrase de login (vous le faites exprès ou quoi ?), mais que vous possédez votre passphrase de montage, vous pouvez vous en sortir :

$ ecryptfs-wrap-passphrase /home/.ecryptfs/USER/.ecryptfs/wrapped-passphrase
Passphrase to wrap: (entrez ici la passphrase de montage)
Wrapped passphrase: (entrez ici la nouvelle passphrase de login)

Redémarrez le système, et normalement tout fonctionne.

Chiffrer son dossier personnel après installation

Il est également possible de chiffrer son dossier personnel une fois le système installé. Cependant, il y a une limitation très contraignante : il faut avoir comme espace libre 2,5× la taille de l’espace occupé par le dossier personnel, c’est-à-dire que la partition contenant /home ne doit pas être remplie à plus de 28%.

Avant toute chose, faire une sauvegarde sur un disque externe ou sur une autre machine (un problème pourrait entraîner la perte de toutes les données).

Le paquet ecryptfs-utils doit être installé :

sudo apt-get install ecryptfs-utils

La commande qui permet de migrer son home est ecyptfs-migrate-home. Cependant, aucune ressource de l’utilisateur du dossier personnel à migrer ne doit être utilisée (pas même un shell). On a donc besoin d’un autre utilisateur, par exemple root (provisoirement).

On réactive donc le compte root et on lui affecte un mot de passe :

sudo passwd root

Ensuite, il faut redémarrer la machine (déconnecter son compte ne suffit pas). Lors de l’écran de login, passer en TTY (Ctrl+Alt+F1), se connecter avec root, et exécuter :

ecryptfs-migrate-home -u USER

(en remplaçant USER par le nom de l’utilisateur dont le dossier personnel doit être migré)

Un peu de patience, il faut attendre un certain temps (qui se compte en heures selon la quantité de données et la puissance du processeur)…

Une fois terminé, se connecter avec l’utilisateur (repasser en mode graphique avec Ctrl+Alt+F7). Normalement tout doit fonctionner.

L’ancien dossier personnel (non chiffré) est dans /home/USER.xxxxxx.

Si tout s’est bien passé ce dossier doit être supprimé, et le compte root peut être désactivé :

sudo passwd --lock root

Récupérer ses données chiffrées

C’est la partie indispensable pour accepter d’utiliser un dossier personnel chiffré : être sûr de pouvoir récupérer ses données. Je vous conseille de tester cette procédure une fois le chiffrement mis en place.

Pour accéder aux données, il suffit d’un LiveCD d’une distribution avec un noyau Linux supérieur ou égal à 2.6.26. J’ai donc utilisé le LiveCD d’Ubuntu Lucid Lynx (10.04) pour mes tests, en m’inspirant de cette doc.

EDIT : Désormais, la commande ecryptfs-recover-private permet d’automatiser tout le processus manuel qui suit.

Tout d’abord, il faut monter la partition contenant les dossiers chiffrés (ça se fait graphiquement en cliquant sur le disque correspondant dans le menu Raccourcis). J’utiliserai l’emplacement /media/DISK comme exemple.

Tout ce que nous allons faire à partir de maintenant nécessite d’être root, passons donc root :

sudo -s

La signature de la clé de chiffrement des noms de fichiers sera nécessaire pour la suite :

root@ubuntu:/~# ecryptfs-add-passphrase --fnek
Passphrase: (entrer la passphrase de montage)
Inserted auth tok with sig [514d1d3af1a232cd] into the user session keyring
Inserted auth tok with sig [7890544814a5865f] into the user session keyring

C’est le code entre crochets de la dernière ligne qui est important.

On va monter le répertoire chiffré dans un répertoire qu’on va appeler decrypted, créons-le :

root@ubuntu:/~# mkdir decrypted

Ensuite, on monte et on répond aux questions :

root@ubuntu:/~# mount -t ecryptfs /media/DISK/.ecryptfs/USER/.Private decrypted
Selection [aes]:
Selection [16]:
Enable plaintext passthrough (y/n) [n]:
Enable filename encryption (y/n) [n]: y
Filename Encryption Key (FNEK) Signature [514d1d3af1a232cd]: 7890544814a5865f

(pour la FNEK, il faut bien préciser la signature qu’on a récupéré juste au-dessus)

Si tout s’est bien passé :

Attempting to mount with the following options:
  ecryptfs_unlink_sigs
  ecryptfs_fnek_sig=7890544814a5865f
  ecryptfs_key_bytes=16
  ecryptfs_cipher=aes
  ecryptfs_sig=514d1d3af1a232d
Mounted eCryptfs

Les données sont maintenant accessibles :

root@ubuntu:~# ls decrypted
Bureau     examples.desktop  Modèles  Public           Vidéos
Documents  Images            Musique  Téléchargements

Pour démonter :

root@ubuntu:~# umount decrypted

updatedb

updatedb indexe régulièrement les fichiers pour pouvoir les rechercher rapidement avec locate. Il faut lui indiquer de ne pas indexer les répertoires .Private afin de ne pas perdre du temps, de la place, et surtout éviter d’obtenir des résultats insignifiants lors d’une recherche avec locate.

Pour cela, ouvrir /etc/updatedb.conf, et éditer la ligne suivante pour y ajouter .Private (la décommenter si elle commençait par un #) :

PRUNENAMES=".git .bzr .hg .svn .Private"

Conclusion

Je pense qu’on a fait le tour de l’essentiel à savoir pour chiffrer son dossier personnel et pouvoir récupérer ses données. J’en ai profité pour chiffrer celui de mon ordinateur portable, tout fonctionne très bien.

Il faut cependant être conscient de deux choses.

Tout d’abord, les données personnelles ne sont pas présentes uniquement dans le répertoire /home, elles sont copiées dans /tmp, dans la RAM, dans le SWAP (il est également possible de chiffrer le SWAP, grâce à ecryptfs-setup-swap), etc. Le chiffrement est donc une étape essentielle dans la protection des données, mais il faut comprendre ce que ça protège (voir à ce sujet le guide d’autodéfense numérique).

Ensuite, ce chiffrement est là pour protéger la vie privée, pas pour cacher quelque chose à la justice. D’une part, le code pénal prévoit une peine de 3 ans et 45000€ d’amende pour refus de fournir la convention secrète de déchiffrement (autrement dit la clé). D’autre part, pour des sujets graves, nul doute que les États mettront les moyens pour casser la clé (qui est relativement faible, car proportionnée à l’objectif à atteindre, à savoir la protection de la vie privée).

Pour utiliser le chiffrement pour des communications plutôt que pour le stockage des données, vous pouvez consulter GnuPG : chiffrer et signer sous Ubuntu pour les nuls.

Amusez-vous bien.

Addendum

À l’utilisation, j’ai remarqué que cette méthode de chiffrement entraînait des problèmes de performance, notamment pour les dossiers contenant beaucoup de fichiers.

Je recommande donc plutôt LUKS+LVM.

Commentaires

Alors c’est comme ça dans Ubuntu…

Je préfère la solution de Fedora: tout chiffré en LUKS (sauf /boot/). Ça demande le passphrase au boot de la machine mais au moins on l’oublie pas. :-D

gorghoa

mazette, article mastoque et interessant, j’avais un peu les boules de chiffrer ma partoche home sur un netbook. je vais peut être me lancer.

merci pour ton article

Kasi

Article de qualité comme à ton habitude :).

Aurais-tu des précisions sur l’algorithme de chiffrement utilisé ?

caméléon

“Mais il y a un grand absent dans la liste des logiciels qui le gèrent : Firefox. Firefox enregistre les mots de passe quasiment en clair ; c’est dommage, c’est à lui qu’on donne la majorité de nos mots de passe.”

C’est l’objet de ce bug, qui compte presque 50 votes!

Bug 309807 - Integrate Password Manager with Gnome Keyring Manager

Le lien: https://bugzilla.mozilla.org/show_bug.cgi?id=309807

Super Article. A garder sous le coude. Merci.

très intéressant comme article, merci

faudra que je fasse ça mais à mon avis, j’attendrai les prochaines vacances. A un moment où ce n’est pas trop grave si je fous en l’air mon système :)

FabriceV

Bonjour.

Je me posais justement la question de la longueur des noms de fichier dans un dossier crypté (des articles scientifiques : 1er-auteur année initiale-revue. Titre). Je me demande s’il n’y a pas quelques subtilités ou bugs : lorsque j’inclus des signes de ponctuation autorisés (ex: virgule), j’ai parfois une réduction drastique du nombre de caractères acceptés, mais c’est aléatoire. C’est assez gênant pour qui utilise régulièrement des noms à rallonge. Je n’ai pas encore essayé de renommer automatiquement par des logiciels pour expérimenter l’effet (jabref, mendeley).

FabriceV

Rebonjour

Autre problème, ou conséquence logique, la mise en hibernation et surtout le réveil de l’ordinateur est horriblement lent sur un netbook. Exemple plus de 15s à attendre devant la seule fenêtre de login pour pouvoir saisir son mot de passe. Bref, bien plus rapide d’éteindre et de rallumer. J’ai essayé un cryptage total du disque dur (système inclus), mais l’impact sur les performances globales du système est trop négatif.

®om

@Kasi

Article de qualité comme à ton habitude :)

Aurais-tu des précisions sur l’algorithme de chiffrement utilisé ?

A priori c’est du AES 128bits (je déduis ça des réponses à donner lors du montage du disque dur avec mount).

@caméléon

Le lien: https://bugzilla.mozilla.org/show_bug.cgi?id=309807

Merci, a voté.

@FabriceV

Rebonjour

Autre problème, ou conséquence logique, la mise en hibernation et surtout le réveil de l’ordinateur est horriblement lent sur un netbook. Exemple plus de 15s à attendre devant la seule fenêtre de login pour pouvoir saisir son mot de passe. Bref, bien plus rapide d’éteindre et de rallumer. J’ai essayé un cryptage total du disque dur (système inclus), mais l’impact sur les performances globales du système est trop négatif.

D’après moi le chiffrement du dossier personnel n’impacte pas du tout l’hibernation.

Seul le chiffrement du SWAP pourrait éventuellement l’affecter. L’hibernation, ce n’est rien d’autre que la copie de la RAM en SWAP et une extinction complète de la machine, lors du redémarrage il faut faire le processus inverse : c’est normal que ça soit plus long qu’une simple extinction suivi d’un redémarrage (que le disque dur soit chiffré ou non). Le but de l’hibernation c’est de garder tout son contexte (fenêtres ouvertes, etc.).

Pour éteindre et rallumer plus rapidement, il faut utiliser la mise en veille (mais la RAM reste allumée).

Gilles

Merci pour l’article. Perso, j’utilise le mot de passe Maitre de FF (mais avec une connexion auto, donc nombre de saisie de mot de passe identique) et pour les données “critiques” j’ai un “fichier” Truecrypt qui est sur une partition partagée avec Windows (et oui, j’ai gardé Win en dual boot et aussi en VM pour des logiciels spécifiques !).

C’est moins robuste mais plus souple. Donc peut être que cela pourra être utile à certains qui ont un besoin de partage entre OS tout en gardant un minimum de sécurisation des données.

tanguy

Ahhh, dommage que mon Ashram préféré soit hors ligne pour quelques temps. Son guru swami pétaramesh avait fait un excellent billet sur le chiffrement du disque dur (avec une carte sd comme clé de démarrage).

http://petaramesh.org/post/2010/03/23/Une-cle-de-contact-pour-votre-portable-chiffre-%3A-Mise-a-jour

tanguy

La clé de démarrage (carte sd ou clé usb) permet de contourner la conclusion de ton billet. Une fois l’ordi démarré, on la retire et on la garde sur soi. Suffit de la bien la dissimuler ou la détruire en cas d’intruision policière inopinée et la justice ne pourra jamais découvrir le contenu de votre ordi. (D’autant plus que le swap étant chiffré il ne révèle aucun documents enregistré lors d’une mise en veille).

Superbe article, je comptais justement étudier ce sujet bientôt/un jour et cet article me mâche le travail

Binerf

Bonjour,

Merci pour cet article [quasi] complet ;-)

Manque juste la partie “suppression du cryptage de sa HOMEDIR” ;-)

J’ai crypté ma home mais je me suis aperçu qu’un script contenu dans ma home et devant être lancé par la crontab n’était jamais exécuté (sauf quand j’étais connecté sur le PC).

Après reflexion, j’ai compris pourquoi.

C’est pour quoi, je conseille de crypter un sous-répertoire de sa home plutôt que toute sa home.

Ce chiffrement est pas mal pour protéger ses docs, mais on peut aller encore plus loin avec LVM et ses volumes chiffrés. Ça permet non seulement de chiffrer son /home mais surtout presque tout son / !

Il me semble que /boot doit être en clair pour la raison évidente de qu’il contient de quoi déchiffrer la partition.

Au final, un password de boot est demandé et protège son PC. Très pratique sur un PC portable !

Pour le mettre en œuvre facilement, le mieux que j’ai trouvé est d’installé Fedora, qui propose l’option dès l’installation, de façon très accessible. Ça doit être possible de le faire avec Ubuntu en alternate je suppose, vu qu’on peut faire des LVM et des raids.

J’ai jamais voulu activer cette fonction, par peur de ne pas pouvoir récupérer des données depuis une autre session de Linux (un live CD ou un autre ordinateur par exemple).

Maintenant, je pense que c’est clair que ce n’est pas dangereux. Me trompe-je ?

[…] EDIT: Pour chiffrer son dossier personnel (/home), c’est ici. […]

Excellent, j’osais pas m’y lancer et ça donne envie car il est facile de voler un netbook et toutes les données inscrites dedans même si j’espère bien qu’un voleur connait plus Windows que Linux c’est jouer avec le feu.

Grande question : est-ce judicieux de placer cette solution chez des particuliers qui cherchent un système qui fonctionne sans se poser de question? Certains seraient bien capables d’oublier le phrase de passe.

FabriceV

Une autre possibilité c’est le mot de passe d’accès au disque dur enregistré dans le firmware. Seul certains disques durs le permettent. Et malheureusement, je crois que certains logiciels arrivent maintenant à contourner la protection sans avoir à reformater le disque dur… Si certains ont des infos?

=> compte tenu des infos précédentes (très bien l’article), de mes tests et de l’impact sur les performances (je confirme que sur ma machine NC10, une partition home encryptée provoque un ralentissement de la mise en hibernation), de la réduction de longueur des fichiers (gênante en l’état pour moi), je vais adopter une solution intermédiaire :

  • mot de passe boot
  • dossier crypté truecrypt pour les seules données sensibles
Kasi

J’ai fait des tests pour récupérer un home chiffré depuis un live cd… J’arrive bien à monter le home chiffré, je vois bien le contenu mais les noms des dossiers et fichiers ne veulent rien dire, ils semblent encore chiffrés.

Voici un extrait :

root@ubuntu:~/Desktop# ls decrypted/
ECRYPTFS_FNEK_ENCRYPTED.FWYaojaaLEYRWUSlavJJymLETtVXs4HxCYBM2dO1QlRJ.GXpfs0X6yWuR---
ECRYPTFS_FNEK_ENCRYPTED.FWYaojaaLEYRWUSlavJJymLETtVXs4HxCYBM6AwAuvotUkHU-JjxOBkOeU--
ECRYPTFS_FNEK_ENCRYPTED.FWYaojaaLEYRWUSlavJJymLETtVXs4HxCYBM6oqSTO24DtNHQ630AkralE--
ECRYPTFS_FNEK_ENCRYPTED.FWYaojaaLEYRWUSlavJJymLETtVXs4HxCYBM83Z1v6PKwWqN4ACFX9UAgk--

Quelqu’un en connait-il la raison ?

®om

Tu as bien fait :

ecryptfs-add-passphrase --fnek

et noté le code de la dernière ligne, que tu as bien spécifié lors du montage :

Filename Encryption Key (FNEK) Signature [514d1d3af1a232cd]: 7890544814a5865f

?

Oui j’ai même réessayé plusieurs fois…

®om

Et tu rentres bien la passphrase de montage à chaque fois (et pas celle de login)?

C’est bizarre chez moi ça fonctionne…

ahhhh boulette de ma part, je rentrais la passphrase de login au lieu de celle de montage. Avec celle de montage ça fonctionne :), merci.

Bon et bien à la prochaine réinstallation du système je chiffrerai mon home :).

Pour ce qui est de Firefox, il y a bel et bien une solution pour enregistrer ses mots de passe dans Mots de passe et clés de chiffrement (GNOME) et KWallet (KDE). Il suffit d’installer:

Gnome-keyring password integration

https://addons.mozilla.org/fr/firefox/addon/8737/

ou

KDE Wallet password integration

https://addons.mozilla.org/fr/firefox/addon/49357/

Malheureusement, Gnome-keyring password integration ne supporte que Firefox 3.5.

Pour ma part, KDE Wallet password integration fonctionne très bien sous Kubuntu (il supporte Firefox 3.6).

hypno

grand merci, j’ai pu récupérer mon /home de 80GO après 2 mois au placard

J’ai une question en marge de cet article… comment faire pour DESACTIVER le cryptage si jamais on regrette son choix lors de l’installation ?

®om

@Hedy

J’ai une question en marge de cet article… comment faire pour DESACTIVER le cryptage si jamais on regrette son choix lors de l’installation ?

Pour désactiver le chiffrement, il faut copier ses données vers un répertoire non chiffré, se déconnecter et se reconnecter en root, et déplacer le dossier contenant les données non chiffrées dans /home/ton_user, puis supprimer totalement /home/.ecryptfs (je n’ai pas testé).

Merci pour cet article complet, simple et clair, il m’a beaucoup aidé à chiffrer mon /home/me sur mon netbook.

[…] intéressant, détaillé et complet sur le chiffrement de votre dossier personnel sous Ubuntu sur le blog de Rom avant de réaliser cette opération. Vous pourrez alors saisir les détails, quelques subtilités […]

Eric Polin

Une page de référence, mille mercis !

Je vais suivre votre blog dorénavant : il y a plein de choses intéressantes.

J’anticipe un problème futur. J’ai chiffré mon /home par la méthode décrite (je n’ai pas utilisé de LVM).

Comment puis-je faire pour appliquer le même chiffrement (même clé + montage au démarrage) sur un nouveau disque dur additionnel (avec éventuellement une partition autre de home)?

Ric Flomag

Merci pour ce post, une référence !

J’aventure quand même une remarque: il n’est pas nécessaire d’avoir le dossier “/home” sur une partition séparée pour réinstaller Ubuntu en conservant ses données. Avec une seule partition, il suffit de ne pas formater “/” lors de l’installation: les dossiers système seront écrasés, mais pas les autres, donc “/home” sera intact. C’est en tout cas ce que dit l’installeur quand on ne coche pas la case “formater” de la partition “/”.

J’avoue que je n’ai pas testé, donc prudence ;).

VIncent-Xavier JUMEL

Pour ceux que ça intéresse, je complète l’article avec une astuce qui permettra de se connecter en ssh à un compte protégé de cette façon. Il faut bien sur utiliser l’astuce avec ses limites, en particulier au niveau de la sécurité de la phrase de passe de la clef ssh.

Polo

Bonjour !

J’aime beaucoup ce blog, je me sert pas mal des tutos en ce moment (passage a l’autohébergement).

Pour compléter celui-ci, un petit tuto sur le cryptage des sauvegardes me semble pas mal intéressant.

Très bien Polo, mais justement je souhaite sauver mes données dans un disque externe. Si on copie ses données directement alors que la partition home est montée, elle ne seront pas chiffrées sur le disque. Comment faire au plus simple pour copier les fichier chiffrés sur un disque externe ?

smile

Chiffrage + effacement malencontreux des fichiers dans /home = suicide si vous ne faites pas de sauvegardes régulières. Même avec testdisk (récupérateur de fichiers effacés), on peut rien faire car ce dernier attribue aux fichiers récupérés de nouveaux noms.

Vous avez des choses à cacher ? :p

FiM

J’ai été contraint (merci ATI) de passer à Ubuntu 10.04 et donc d’abandonner LUKS (qui fonctionnait à merveille sur Debian Lenny) contre ecryptfs et le chiffrement du répertoire personnel, sans que j’aie le choix de conserver la première solution, ce que j’aurais fait :

  • quand on monte avec pam_mount des répertoires distants à l’ouverture de session dans son répertoire personnel, ça fonctionne au premier login, mais si on se déconnecte, on les perd définitivement : ils restent montés et inaccessibles !
  • j’utilise VNC quand je ne suis pas à mon bureau… je me logue en SSH (ça déchiffre mon répertoire perso), je lance VNC, ok, je me déconnecte, et ça déconnecte mon répertoire perso, donc VNC est inutilisable…

Bref vu les contraintes, je pense que je vais virer cette “fonctionnalité” rapidement.

®om

@FiM

quand on monte avec pam_mount des répertoires distants à l’ouverture de session dans son répertoire personnel, ça fonctionne au premier login, mais si on se déconnecte, on les perd définitivement : ils restent montés et inaccessibles !

Et si tu montes les répertoires distants en dehors de ton home (quitte à faire un lien symbolique dans ton home) ?

@FiM

j’utilise VNC quand je ne suis pas à mon bureau… je me logue en SSH (ça déchiffre mon répertoire perso), je lance VNC, ok, je me déconnecte, et ça déconnecte mon répertoire perso, donc VNC est inutilisable…

Comment tu fais pour qu’une connexion en SSH déchiffre ton home, étant donné qu’une connexion SSH nécessite la lecture des fichiers se trouvant dans ~/.ssh (en clair donc) ?

Si tu as une astuce pour faire cela, ça m’intéresse ;-)

(sinon je n’ai pas bien compris ce que tu faisais avec VNC, ni pourquoi la déconnexion de VNC démontait ton home)

Article très bien. J’ai trouvé des références dans plusieurs blogs qui renvoient ici.

Je songe moi-même à chiffrer mon home. Je trouve ça moins contraignant que de chiffrer tout le système (un mot de passe de plus à se rappeler au boot, et je parle même pas de ma femme qui va râler à mort !).

Ce que je trouve bête finalement, c’est qu’on puisse pas chiffrer tout le système (/var contient aussi des données à protéger des fois…) et se connecter avec son login utilisateur qui déchiffre en temps réel ce dont on a besoin. Je ne sais pas si je me fais bien comprendre…

Autre soucis à ce que je vois : l’hibernation. Or il y a plus d’intérêt à chiffrer un laptop qu’un desktop. Là, ça coince !

Quelqu’un connait le détail technique (je suis pas ubuntu, mais gentoo) du dossier home chiffré ? Il faut monter automatiquement le dossier au login, toussa… Il y a des scripts ?

®om

@22decembre

Ce que je trouve bête finalement, c’est qu’on puisse pas chiffrer tout le système (/var contient aussi des données à protéger des fois…) et se connecter avec son login utilisateur qui déchiffre en temps réel ce dont on a besoin. Je ne sais pas si je me fais bien comprendre…

Le problème je pense, c’est que /var est utilisé avant la connexion de l’utilisateur.

@22decembre

Autre soucis à ce que je vois : l’hibernation. Or il y a plus d’intérêt à chiffrer un laptop qu’un desktop. Là, ça coince !

Tu peux aussi chiffrer le swap.

@22decembre

Quelqu’un connait le détail technique (je suis pas ubuntu, mais gentoo) du dossier home chiffré ? Il faut monter automatiquement le dossier au login, toussa… Il y a des scripts ?

Je ne sais pas, mais ça m’intéresse aussi. Car là si je change de distribution, je ne sais pas comment faire pour garder mon /home chiffré tel quel.

Peronico

Bravo pour cet article !

Ca m’a permis de comprendre un peu mieux ce qu’était le chiffrement des données. Car j’ai découvert ça par hasard suite à une coupure de courant lors d’un démarrage de session.

En effet, toutes mes données ont été chiffrées et je ne savais pas du tout comment les récupérer.

Toutefois, lorsque j’essaie de les déchiffrer, j’ai le message suivant :

Error mounting eCryptfs: [-2] No such file or directory

Pouvez vous m’aider ?

Kasi

Salut,

Dans la dernière version d’Ubuntu on peut chiffrer tout le disque y compris le système. Comment se passe l’authentification ssh dans ce cas ?

Merci

Poster un commentaire

Nom : (requis)
E-mail : (requis, non publié)
Site web : (optionnel)
Quelle est la 3e lettre du mot blog ? (antispam)

Les commentaires sont formatés en markdown.