Schattenseiten

Ein verschlüsseltes Verzeichnis ist mit EncFS schnell und unkompliziert aufgesetzt, ein kleines Kommando reicht aus. Seine Arbeitsweise bedingt jedoch auch ein paar Nachteile: Zunächst einmal frisst die im laufenden Betrieb durchgeführte Ver- und Entschlüsselung etwas Rechenzeit, die in der Praxis jedoch subjektiv nicht spürbar war. Je nach gewähltem Verschlüsselungsverfahren wachsen die einzelnen Dateien zudem leicht in ihrer Größe an (siehe Kasten "Der Expertenmodus"). Die zusätzlichen Kosten halten sich aber auch hier in Grenzen.

Die ersten richtigen Probleme entstehen, sobald Angreifer in das verschlüsselte Verzeichnis hineinsehen können – beispielsweise auf einem unsicheren Internet-Speicherplatz oder einem gestohlenen Notebook. Im Gegensatz zu verschlüsselten Containern, wie sie etwa TrueCrypt anlegt, sehen sie dann direkt, wie viele vertrauliche Dokumente in welcher Stückzahl vorliegen und welche Zugriffsrechte und Größen diese im Einzelnen besitzen. Genügend erschlichene Benutzerrechte vorausgesetzt, könnte sich ein Angreifer die in Frage kommenden Dateien sogar schnell auf einen USB-Stick ziehen und dann zuhause in Ruhe analysieren. Dabei helfen ihm auch noch die von EncFS hinterlassenen Metainformationen in der XML-Datei, die ausführlich Auskunft über das verwendete Verschlüsselungsverfahren geben.

Unterm Strich hängt die Sicherheit der Daten maßgeblich vom gewählten Passwort ab. In bestimmten Umständen ist jedoch selbst das keine Garantie mehr: Öffnet man nach dem Mounten eine der nun entschlüsselten Dateien, beispielsweise in einer Textverarbeitung, stehen ihre Inhalte im Klartext im Hauptspeicher. Lagert Linux diesen Teil zufällig noch in den Swap-Bereich aus, liegen dort alle Informationen möglicherweise tagelang ungeschützt herum.

Schließanlage

Solange das Verzeichnis »privat« eingebunden ist, sind auch seine Inhalte zugänglich. Hat es ein Angreifer geschafft, das System zu übernehmen, kann er alle Dokumente einsehen. Folglich sollte man das verschlüsselte Verzeichnis nach getaner Arbeit schleunigst wieder aushängen:

fusermount -u /home/tim/lesbar

Um später den Datentresor wieder zu öffnen, greift man erneut zum bekannten »encfs« -Befehl. Die Verschlüsselungssoftware fragt dann nach dem Passwort und hängt wie gewohnt den Inhalt von »privat« unter »lesbar« ein.