Incfs in cima a ZFS

Question

Voglio passare a ZFS, ma vuoi ancora crittografare i miei dati.La crittografia nativa per ZFS è stata aggiunta in "< numero di versione della piscina ZFS 30 ", ma sonoUtilizzo di ZFS su FreeBSD con versione 28. La mia domanda è in base alle funzioni ENCFS (Fuse Encryption) influisce sulle funzionalità specifiche dello ZFS come l'integrità dei dati e la deduplicazione?

Answer 1

ENCFS ha un limite per una lunghezza del nome di file / directory che è più breve di quella dello ZFS. Non potevo ricordare ma probabilmente meno di 255 caratteri per oggetto. Se ti capita di avere qualche file / directory con nomi che superano quel limite riceverai un errore I / O durante la copia in una risorsa Encfs montata e il file / directory offensiva non verrà creato, è tutto.

Non utilizzo la deduplicazione (troppo piccola ram purtroppo) ma poiché i DICFS utilizza la modalità BCE per la crittografia dei nomi dei file, i nomi di file naturalmente simili sono visti come tali sul lato crittografato (gli attributi dei file sono invariati anche), che è fortunato per strumenti come rsync. Sfortunatamente per la deduplicazione, i DISCUS utilizza la firma dei dati (HMAC) per i vettori di inizializzazione che rendono copie dello stesso contenuto completamente diverso. Probabilmente è possibile trovare un modo per bloccare questo comportamento, ma poi l'integrità dei dati dipende da essa, quindi non lo consiglierei.

Se hai bisogno di crittografia a livello del dispositivo, dare un'occhiata alla criptetup. Per questo è necessario migrare la tua piscina da /dev/disk/by-id/ata-* a dispositivi /dev/disk/by-id/dm-name-*. Ciò non proibisce a utilizzare la deduplicazione, incorrere in una leggera penalità di prestazione. E dovresti optare sui dati decrittografati per il backup, che potrebbero non essere desiderabili.

Attualmente sto usando entrambi i metodi (cioè crypttsetup e encfs). Può sembrare un po 'ridondante, ma trovo necessario evitare sia i dati di decrittografia per il backup e la memorizzazione dei parametri di crittografia in testo semplice nel file .encfs.xml che infastidisce il mio senso paranoico di sicurezza;)