Gocryptfs: A File-based Encryption Tool Written in Go

gocryptfs vs Other Tools#

Berikut adalah perbedaan utama antara cryptsetup dengan gocryptfs²:

Selain itu, gocryptfs sendiri sudah membuat perbandingan dengan beberapa tools enkripsi lainnya:³

How It Works#

Kira-kira, beginilah diagram kerja gocryptfs dari sudut pandang penggunanya:

Bentuk nyatanya di komputer saya:

Kira-kira, beginilah cara kerjanya:⁴

1. Ketika pertama kali menginisialisasi encrypted directory (direktori terenkripsi), kita akan diminta memasukkan password.
2. Setelah berhasil meng-input-kan password, kita akan mendapatkan master key (berisi 64 digit karakter angka dan huruf random) alias KEK (Key Encryption Key).
3. gocryptfs akan men-generate 2 file penting di dalam encrypted directory yang barusan kita inisialisasi:

• gocryptfs.conf: berisi encrypted master key, salt (untuk password hashing), parameter scrypt, dan beberapa hal lain.
• gocryptfs.diriv: file binary yang digunakan untuk mendekripsi nama file di satu direktori. Oleh karena itu, file ini akan ada di setiap sub-direktori di dalam encrypted directory.

Oleh karena itu, ke-empat hal tersebut (password, master key/KEK, gocryptfs.conf, dan gocryptfs.diriv) sangat penting sehingga harus dipastikan tidak hilang atau lupa.

Jika kita lupa password, file dan direktori masih dapat dideskripsi dengan master key/KEK, tapi jika master key juga hilang, maka file dan direktori tidak dapat didekripsi. File gocryptfs.conf juga penting karena menyimpan informasi mengenai metadata utama filesystem. Jika itu hilang, secara praktis, sudah hampir mustahil untuk recovery-nya, meskipun kita ingat password dan master key. gocryptfs.diriv diperlukan untuk mendekripsi nama file, jadi, kehilangan file tersebut berarti kita tidak dapat mendekripsi nama file yang ada di direktori tersebut.

1. Create dirs#

Buat 2 direktori utama:

1. Direktori untuk menyimpan file normal
2. Direktori untuk menyimpan file yang terenkripsi

1
mkdir encrypted open

2. Initialize dir#

Inisialisasi direktori yang sudah ditentukan untuk menyimpan file yang terenkripsi.

1
gocryptfs -init encrypted

Perhatikan bahwa, di dalam direktori yang sudah kita inisialisasi (encrypted/), ter-generate 2 file:

• gocrptfs.conf
• goctypfs.diriv

Berikut adalah isi file gocryptfs.conf:

1
{
2
    "Creator": "gocryptfs v2.6.1",
3
    "EncryptedKey": "9ajKdvNPrr6+mqCxzGSWgGAF3zYT5Yn4FIJ/pmvprkMt3crLrKeG3Ktsk0FwMJRLjEtjjaH694l4nGObtUWh6Q==",
4
    "ScryptObject": {
5
        "Salt": "TFhGHlNzjrH1xvn82VsxuAzlGh20AZDFYb20EA4dvHw=",
6
        "N": 65536,
7
        "R": 8,
8
        "P": 1,
9
        "KeyLen": 32
10
    },
11
    "Version": 2,
12
    "FeatureFlags": [
13
        "HKDF",
14
        "GCMIV128",
15
        "DirIV",
16
        "EMENames",
17
        "LongNames",
18
        "Raw64"
19
    ]
20
}

Adapun file gocryptfs.diriv sendiri adalah file binary:

3. Mounting#

Berikutnya, kita perlu me-mounting direktori yang sudah diinisialisasi tadi (encrypted/) ke direktori filesystem (open/):

1
gocryptfs encrypted/ open/

Nanti kita akan diminta memasukkan password yang sudah kita buat sebelumnya, tinggal di-input-kan saja.

4. Adding files#

Sekarang, kita sudah bisa menambahkan file dan direktori di dalam direktori open/.

Berikut demonstrasi menambahkan dan menghapus file dan direktori/folder.

Perhatikan!

File dan direktori/folder yang kita tambahkan ke direktori open/ akan otomatis terenkripsi di file encrypted/, tidak hanya isi filenya saja yang dienkripsi, tetapi juga nama filenya. Selain itu, ketika kita menambahkan sub-direktori/sub-folder di direktori open/, maka direktori encrypted/ juga akan otomatis men-generate file .diriv di dalamnya.

5. Umounting#

Jika sudah selesai, kita bisa meng-umount direktori filesystem tersebut (open/) dengan perintah:

1
fusermount -u open

Karena direktori open/ hanya digunakan sebagai “mount point” untuk encrypted/, maka ketika sudah di-umount, direktori tersebut akan kembali seperti semula (kosong). Bahkan, kita dapat menghapusnya juga.

Yang tersisa hanyalah direktori encrypted/ yang semua file dan sub-direktorinya sudah terenkripsi, baik isinya maupun namanya. Tidak ada orang yang bisa mengetahui isi file-file tersebut (bahkan nama asli file-file-nya juga), kecuali mereka tau password-nya.

6. Re-mounting#

Sama seperti proses mounting sebelumnya, kita hanya perlu sebuah direktori kosong sebagai “mount point”. Kemudian, untuk me-mounting, kita gunakan perintah yang sama.

1
mkdir newdir
2
gocryptfs encrypted/ newdir/

7. Master Key#

Jika kita lupa password, maka selagi masih memiliki master key, masih ada jalan untuk mendekripsi direktori dan file-file tersebut. Oleh karena itu, master key perlu dijaga dengan baik, sebab, jika kita lupa password dan master key-nya juga hilang, maka tamatlah riwayat kita, karena file-file dan direktori terenkripsi itu sudah tidak ada harapan lagi untuk bisa didekripsi.

Berikut adalah cara membuka (mendekripsi) menggunakan master key:

1
gocryptfs encrypted <mountpoint_dir> -masterkey=<64 digit master key>

Tapi, jika kita langsung meng-input-kan master key-nya langsung seperti itu, maka master key tersebut bisa saja dibaca via ps ax dan tersimpan di history shell. Oleh karena itu, ada cara yang lebih aman dan private untuk meng-input-kan master key, yaitu via stdin sebagai berikut:

1
gocryptfs encrypted <mountpoint_dir> -masterkey=stdin

Kemudian, nanti akan ada prompt yang meminta input master key, tinggal di-input-kan.

Demikian.
Terima kasih sudah mampir.
Boleh tinggalkan komentar jika ada saran dan kritik ya!