Fscrypt - 版の履歴

Pikosip: /* パッケージへのリンクをaurの-gitからextraに変更 */

2024-07-26T10:04:27Z

パッケージへのリンクをaurの-gitからextraに変更

← 古い版		2024年7月26日 (金) 19:04時点における版
52行目:		52行目:
	=== ユーザースペースツール ===		=== ユーザースペースツール ===

	{{~~AUR~~\|fscrypt~~-git~~}} を[[インストール]]してください。または、以前インストールしていた場合は最新版にアップグレードしてください。それから以下のコマンドを実行:		{{Pkg\|fscrypt}} を[[インストール]]してください。または、以前インストールしていた場合は最新版にアップグレードしてください。それから以下のコマンドを実行:

	# fscrypt setup		# fscrypt setup

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:50:19Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:50時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[en:Fscrypt]]		[[en:Fscrypt]]
	{{Related articles start}}		{{Related articles start}}

Kgx: 序文を更新

2023-07-02T16:07:31Z

序文を更新

← 古い版		2023年7月3日 (月) 01:07時点における版
8行目:		8行目:
	{{Related articles end}}		{{Related articles end}}

			'''fscrypt''' は [[ext4]]、[[F2FS]]、[[Wikipedia:UBIFS\|UBIFS]] [[ファイルシステム]] のネイティブファイル暗号化サポートを管理するツールです。
	[[ext4]], [[F2FS]], [[Wikipedia:ja:UBIFS\|UBIFS]] [[ファイルシステム]]は '''fscrypt''' (旧名 "ext4 encryption") と呼ばれる共通 API によるファイル暗号化にネイティブで対応しています。fscrypt ではディレクトリ単位で暗号化を適用できます。ディレクトリごとに別々の暗号鍵を使用することが可能です。ディレクトリを暗号化するとファイルの中身、ファイル名、シンボリックリンク全てが暗号化されます。サブディレクトリも全て暗号化されます。ファイル名以外のメタデータ、タイムスタンプや容量、ファイルの数、拡張属性などは暗号化されません。

			上記のファイルシステムに統合されている [https://docs.kernel.org/filesystems/fscrypt.html カーネル内の基本的な暗号化メカニズム] は、''fscrypt'' と呼ばれることもあります。曖昧さを避けるため、この記事ではカーネルの機能を ''Linux ネイティブファイル暗号化'' と呼びます。Linux ネイティブファイル暗号化では、異なるディレクトリで異なる暗号化キーを使用することができます。暗号化されたディレクトリでは、すべてのファイルの内容、ファイル名、シンボリックリンクが暗号化され。すべてのサブディレクトリも暗号化されます。タイムスタンプ、ファイルのサイズや数、拡張属性など、ファイル名以外のメタデータは暗号化されません。
	'''fscrypt''' はカーネルの機能を使うための同名のユーザースペースツールの名前でもあります。この記事では [https://github.com/google/fscrypt fscrypt ツール] を使ってホームディレクトリなどを暗号化する方法を説明します。

			この記事は ''fscrypt'' ツール (およびオプションで ''fscrypt'' に付随する ''pam_fscrypt'') の使用を前提としているため、Linux ネイティブのファイル暗号化を設定できる他のユーザ空間ツール、例えば [[systemd-homed]] には適用できない部分がほとんどです。

	== 検討すべき代替案 ==		== 検討すべき代替案 ==
207行目:		209行目:
	== Linux コンテナ内の暗号化 (lxc) ==		== Linux コンテナ内の暗号化 (lxc) ==

	[[Linux Containers]]~~（lxc）~~内、またはより一般的にはファイルシステムのルートディレクトリが表示されない {{man\|7\|mount_namespaces}} での fscrypt の使用のサポートが v0.2.8 で追加されました。		[[Linux Containers]](lxc)内、またはより一般的にはファイルシステムのルートディレクトリが表示されない {{man\|7\|mount_namespaces}} での fscrypt の使用のサポートが v0.2.8 で追加されました。

	=== コンテナ停止時にディレクトリをロック ===		=== コンテナ停止時にディレクトリをロック ===

Kgx: /* ホームディレクトリの暗号化 */ 情報を更新

2023-07-02T15:59:22Z

ホームディレクトリの暗号化: 情報を更新

← 古い版		2023年7月3日 (月) 00:59時点における版
156行目:		156行目:
	== ホームディレクトリの暗号化 ==		== ホームディレクトリの暗号化 ==

			{{Warning\|
⚫	~~{{Warning\|~~ユーザーのホームディレクトリが暗号化されている場合、ホームディレクトリの暗号化が解除されるまでそのユーザーに ssh でログインできなくなります。}}
			* ログインプロテクターは、{{ic\|/etc/shadow}} でのシステムのパスフレーズハッシュと同等の安全性しかありません。ログインプロテクターを使用する前に、必ず [https://github.com/google/fscrypt#securing-your-login-passphrase セキュリティに関する推奨事項] に従ってください。
		⚫	* ユーザーのホームディレクトリが暗号化されている場合、ホームディレクトリの暗号化が解除されるまでそのユーザーに ssh でログインできなくなります。}}

	ユーザーのホームディレクトリを暗号化するには、最初に {{ic\|pam_fscrypt}} の有効化などの[[#準備\|準備]]を行ってください。		ユーザーのホームディレクトリを暗号化するには、最初に {{ic\|pam_fscrypt}} の有効化などの[[#準備\|準備]]を行ってください。

Kgx: /* ディレクトリの手動アンロック */ 同期

2023-07-02T15:56:45Z

ディレクトリの手動アンロック: 同期

← 古い版		2023年7月3日 (月) 00:56時点における版
142行目:		142行目:
	元のファイルを削除してもディスクからフォレンジックによって復元できる可能性があります (特に SSD を使用している場合)。データは最初から暗号化された状態にすることを推奨します。}}		元のファイルを削除してもディスクからフォレンジックによって復元できる可能性があります (特に SSD を使用している場合)。データは最初から暗号化された状態にすることを推奨します。}}

	== ディレクトリの~~手動アン~~ロック ==		== ディレクトリのロック/ロック解除 ==

	~~手動で~~暗号化ディレクトリを解錠するには、~~以下のコマンド~~を実行:		暗号化されたディレクトリのロックを解除するには、次を実行します。

	$ fscrypt unlock ''dir''		$ fscrypt unlock ''dir''

	~~{{ic\|~~fscrypt}} はパスフレーズの入力を要求します。		''fscrypt'' はパスフレーズの入力を求めます。

			暗号化されたディレクトリをロックするには、次を実行します。

			$ fscrypt lock ''dir''

	== ホームディレクトリの暗号化 ==		== ホームディレクトリの暗号化 ==

Kgx: /* ディレクトリの自動アンロック */ 同期

2023-07-02T15:54:57Z

ディレクトリの自動アンロック: 同期

← 古い版		2023年7月3日 (月) 00:54時点における版
66行目:		66行目:
	{{Warning\|{{ic\|.fscrypt}} ディレクトリを削除してはいけません。そうすると暗号化されたファイルにアクセスできなくなります。}}		{{Warning\|{{ic\|.fscrypt}} ディレクトリを削除してはいけません。そうすると暗号化されたファイルにアクセスできなくなります。}}

			=== PAM モジュール ===
	=== ディレクトリの自動アンロック ===

	ログイン用のパスフレーズで~~暗号化~~ディレクトリ~~を保護して、~~ロ~~グイン時に~~自動的に~~ロックを~~解除した~~い場合~~、[[PAM]] ~~の設定~~を編集して ~~{{ic\|~~pam_fscrypt}} を有効化し~~てください:~~		ログイン時にログインパスフレーズで保護されたディレクトリのロックを自動的に解除し、ログインパスフレーズで保護されたディレクトリをログインパスフレーズの変更と同期させておくには、システム [[PAM]] 構成を調整して ''pam_fscrypt'' を有効にします。

	{{ic\|/etc/pam.d/system-login}} の "auth" セクションに以下の行を追加:		{{ic\|/etc/pam.d/system-login}} の ''auth'' セクションに次の行を [[ヘルプ:読み方#追加, 追記, 作成, 編集\|追加]] します。

			{{hc\|/etc/pam.d/system-login\|
	auth optional pam_fscrypt.so		auth optional pam_fscrypt.so
			}}

	~~また、~~{{ic\|~~/etc/pam.d/~~system-~~login~~}} の ~~"session"~~ ~~セクション~~に以下の行を~~追加:~~		''session'' セクションの {{ic\|session include system-auth}} の '''前''' に次の行を挿入します。

			{{hc\|/etc/pam.d/system-login\|2=
	session optional pam_fscrypt.so drop_caches lock_policies
			session [success=1 default=ignore] pam_succeed_if.so service = systemd-user quiet
		⚫	session optional pam_fscrypt.so
			}}

			{{Note\|[https://github.com/google/fscrypt/issues/95#issuecomment-377389231 https://github.com/google/fscrypt/issues/95] から取得した最初の行は、{{ ic\|systemd --user}} セッションのバイパスであり [https://github.com/systemd/systemd/issues/8598 は PAM セッションを適切に閉じず] ログアウト時のロックがブロックされます。}}
	最後に、{{ic\|/etc/pam.d/passwd}} に以下の行を追加:

			最後に、次の行を {{ic\|/etc/pam.d/passwd}} に [[ヘルプ:読み方#追加, 追記, 作成, 編集\|追加]] します。
⚫	~~password~~ ~~optional~~ pam_fscrypt.so

			{{hc\|/etc/pam.d/passwd\|
			password optional pam_fscrypt.so
			}}

	== ディレクトリの暗号化 ==		== ディレクトリの暗号化 ==

Kgx: /* ext4 */ 情報を更新

2023-07-02T15:48:52Z

ext4: 情報を更新

@@ 38行目: / 38行目: @@
 ==== ext4 ====
-[[ext4]] の場合、暗号化したいファイルシステムについて {{ic|encrypt}} フラグを有効にする必要があります。そのためにはまず、ファイルシステムがページサイズのブロックを使っていることを確認してください:
+[[ext4]] の場合、暗号化が使用されるファイルシステムでは、{{ic|encrypt}} 機能フラグが有効になっている必要があります。有効にするには、次を実行します。
  # tune2fs -O encrypt ''/dev/device''
 ==== F2FS ====

Kgx: /* 他のディスク暗号化 */ 同期

2023-07-02T15:44:37Z

他のディスク暗号化: 同期

← 古い版		2023年7月3日 (月) 00:44時点における版
12行目:		12行目:
	'''fscrypt''' はカーネルの機能を使うための同名のユーザースペースツールの名前でもあります。この記事では [https://github.com/google/fscrypt fscrypt ツール] を使ってホームディレクトリなどを暗号化する方法を説明します。		'''fscrypt''' はカーネルの機能を使うための同名のユーザースペースツールの名前でもあります。この記事では [https://github.com/google/fscrypt fscrypt ツール] を使ってホームディレクトリなどを暗号化する方法を説明します。

			== 検討すべき代替案 ==
	== 他のディスク暗号化 ==

	ファイルシステム全体をひとつのパスワードで保護したい場合、[[dm-crypt]] でブロックデバイス暗号化するほうが良いでしょう。その場合、ファイルシステムのメタデータも全て暗号化されます。特定のディレクトリだけを暗号化したい場合や、それぞれのディレクトリのロックを別個に解除したい場合 (ユーザーごとにホームディレクトリを暗号化するなど) は fscrypt が相応しいと思われます。		ファイルシステム全体をひとつのパスワードで保護したい場合、[[dm-crypt]] でブロックデバイス暗号化するほうが良いでしょう。その場合、ファイルシステムのメタデータも全て暗号化されます。特定のディレクトリだけを暗号化したい場合や、それぞれのディレクトリのロックを別個に解除したい場合 (ユーザーごとにホームディレクトリを暗号化するなど) は fscrypt が相応しいと思われます。
20行目:		20行目:
	他の暗号化手段に関する詳細については[[ディスク暗号化]]を参照してください。		他の暗号化手段に関する詳細については[[ディスク暗号化]]を参照してください。

			{{Note\|
⚫	~~{{Note\|~~{{Pkg\|e2fsprogs}} の ~~{{ic\|~~e4crypt}} ツール~~を {{ic\|~~fscrypt}} ツールの代わり~~として~~使~~うことが~~できます。ただし、~~{{ic\|~~e4crypt}} には基本的な機能が存在~~せず既~~に開発されていないため使用は~~推奨され~~ません。}}
			* ''fscrypt'' を [[dm-crypt]] と組み合わせて使用することが可能で、各暗号化層が異なる目的を果たします。たとえば、ファイルシステム自体は、''セキュアブート'' に関連付けられた TPM やシステムのすべてのユーザーに知られているパスワードなど、安全性の低い方法を使用して dm-crypt によって保護できますが、各ユーザーのホームディレクトリもそのユーザーのみが知っているパスワードを使用して ''fscrypt'' を実行します。
		⚫	* {{Pkg\|e2fsprogs}} の ''e4crypt'' ツールは、''fscrypt'' ツールの代わりに使用できます。ただし、''e4crypt'' には多くの基本機能が欠けており、現在は積極的に開発されていないため、これはお勧めできません。
			* {{Pkg\|f2fs-tools}} の ''f2fscrypt'' は ''e4crypt'' の単なるコピーであり、同様に推奨されません。
			}}

	== 準備 ==		== 準備 ==

Kusanaginoturugi: 関連ページへのリンクを修正

2023-02-08T04:36:12Z

Kgx: Linux コンテナ内の暗号化 (lxc)を翻訳して追加

2022-03-01T12:30:41Z

Linux コンテナ内の暗号化 (lxc)を翻訳して追加

← 古い版		2022年3月1日 (火) 21:30時点における版
202行目:		202行目:

	{{Tip\|[[shred]] の実行は任意ですが、強く推奨します。}}		{{Tip\|[[shred]] の実行は任意ですが、強く推奨します。}}

			== Linux コンテナ内の暗号化 (lxc) ==

			[[Linux Containers]]（lxc）内、またはより一般的にはファイルシステムのルートディレクトリが表示されない {{man\|7\|mount_namespaces}} での fscrypt の使用のサポートが v0.2.8 で追加されました。

			=== コンテナ停止時にディレクトリをロック ===

			コンテナ内の [[systemd/ユーザー]] ユニットは、コンテナの停止時に暗号化されたディレクトリをロックすることができます。

			{{hc\|~/.config/systemd/user/lock-directory.service\|2=
			[Unit]
			Description=lock encrypted directory on shutdown
			DefaultDependencies=no
			Before=shutdown.target

			[Service]
			Type=oneshot
			ExecStart=/bin/sh -c "/usr/bin/fscrypt lock /home/facade/target"
			TimeoutStartSec=0

			[Install]
			WantedBy=shutdown.target
			}}

	== トラブルシューティング ==		== トラブルシューティング ==

← 古い版		2023年2月8日 (水) 13:36時点における版
3行目:		3行目:
	[[en:Fscrypt]]		[[en:Fscrypt]]
	{{Related articles start}}		{{Related articles start}}
	{{Related\|デ~~ィスク~~暗号化}}		{{Related\|保存データ暗号化}}
	{{Related\|Ext4}}		{{Related\|Ext4}}
	{{Related\|F2FS}}		{{Related\|F2FS}}