Dropbox Ordner verschlüsseln mit encfs

10 Jahre her Blog Linux Software Windows

Cloudspeicher wie Dropbox sind außerordentlich praktisch. Man hat seine Daten auf mehreren Endgeräten immer zur Hand und sie sind stets auf dem neuesten Stand. Die Sicherheitsenthüllungen und -skandale rund um solche Dienste und die NSA hinterlassen aber einen faden Beigeschmack. Dropbox beispielsweise verschlüsselt die Daten zwar vor dem Upload, sie kontrollieren jedoch die Schlüssel. So kann ein Angreifer zwar mit den Daten nichts anfangen (sofern er nicht auch die Schlüssel klaut), aber Dropbox selbst hat theoretisch vollen Zugriff. Und damit auch die Geheimdienste.

EncFS wurde nach einem Audit als unsicher eingestuft! Mögliche Alternative: CryFS

Das verschlüsseln der Daten bevor Dropbox sie überhaupt sieht ist daher die einzig sichere Methode. Containerbasierte Verschlüsselungen wir z.B. mit Truecrypt sind allerdings unpraktisch. Man muss im Vorhinein die Größe des Containers bestimmen, außerdem muss der Container zumindet initial komplett in die Cloud übertragen werden. Je nach Größe und Bandbreite kann das ewig dauern. Zudem hat Truecrypt durch die Ereignisse in letzter Zeit einiges an Vertrauenswürdigkeit verloren. Daher nutze ich encfs zum Verschlüsseln. Die Open-Source Software verschlüsselt die Dateien einzeln, das Erstellen von Containern entfällt. Zusätzlich werden die Dateinamen ebenfalls verschlüsselt.

Vorbereitungen & Installation

Zunächst muss das Paket encfs aus den Paketquellen installiert werden:

sudo apt-get install encfs

Anschließend erstellt man je einen Ordner innerhalb von Dropbox und einen außerhalb der Dropbox. Ich nenne sie /Dropbox/encrypted und /Dropbox-decrypted. Danach teilt man encfs mit, welcher Ordner verschlüsselt werden soll und wo die unverschlüsselten Daten liegen sollen. Natürlich sollen die verschlüsselten Daten in der Dropbox liegen. Mittels encfs wird dieser verschlüsselte Ordner später in den unverschlüsselten gemounted. Mit folgendem Befehl erstellt man diese Verknüpfung:

encfs ~/Dropbox/encrypted ~/Dropbox-decrypted

Es erscheint ein Wizard im Terminal, mit der Taste “p” können die Standardeinstellungen gesetzt werden, die absolut in Ordnung sind (u.a. wird die Verschlüsselung auf AES-256 gesetzt und die Dateinamen werden mit verschlüsselt). Man muss nur noch sein Passwort setzen. Hinweis: Es müssen absolute Ordnerangaben verwendet werden, ansonsten beschwert sich encfs. Der Ordner ist nun bereits eingebunden. Alles, was man im Verzeichnis Dropbox-decrypted ablegt wird nun verschlüsselt in /Dropbox/encrypted erscheinen und in die Cloud synchronisieren.

Auto-Mount beim Systemstart

Es gibt mehrere Möglichkeiten das Mounten bei Systemstart zu automatisieren. Ich verwende gnome-encfs. Das Paket exisitiert nicht in den Paketquellen und muss von Hand installiert werden. Download und Anleitung gibt es bei bitbucket.org/obensonne/gnome-encfs. Man lädt zunächst das Package herunter, entpackt das Archiv, wechselt in den Ordner und führt als root ein install gnome-encfs /usr/local/bin aus. Das Einrichten des Auto-Mounts ähnelt der Einrichtung der Verschlüsselung:

gnome-encfs -a ~/Dropbox/encrypted ~/Dropbox-decrypted

Die Abfrage nach dem Konfigfile kann man mit Enter überspringen. Anschließend wird man nach dem Passwort gefragt und kann anschließend einstellen, ob beim Login das Verzeichnis automatisch gemounted werden soll. Fertig.

Nutzung unter Windows

Wer neben Linux auch noch Windwos nutzt, möchte seine Dropbox sicher auch gerne dort einsetzen. Für Windows gibt es eine (experimentelle) Portierung von encfs. Zunächst muss die Dokan Library 6 installiert werden. encfs4win gibt es hier. Das Zip-Archiv muss entpackt werden. Ich schiebe die Dateien danach auf die C: Partition. Nach einem Klick auf encfsw.exe erscheint im System Tray ein Schlüsselsymbol. Dort Rechtsklicken und auf Open/Create klicken. Es öffnet sich ein Explorerfenster, in dem man zu seinem verschlüsselten Dropbox-Ordner navigiert und diesen auswählt. Nach der Bestätigung wird erfragt, als welches Laufwerk der verschlüsselte Ordner eingebunden werden soll, außerdem muss das Passwort eingeben werden.

Anschließend wird der Ordner entschlüsselt eingebunden. In den Einstellungen lässt sich auch ein Autostart aktivieren.