Šifrované úložiště

Tento článek je věnován těm, kteří plánují a nebo už využívají cloudové úložiště dat. Nejprve si řekneme, co si pod v dnešní době tolik používaným pojmem cloud představit. Cloud není nic jiného než typ úložiště, které známe z počítače, ale s tím rozdílem, že je umístěné v internetu v datacentru. A čemu, že je to dobré? Je to dobré na to, že data, která si tam uložíme, pak máme dostupná odkudkoliv, kde je k dispozici internetové připojení.

V tomto článku popíšu cloudová řešení od pCloud a Internxt a způsob, jak data v cloudu šifrovat. A proč data v cloudu ještě navíc šifrovat? Píšu o tom i v mých ostatních článcích - je to digitální soukromí. Máš tak jistotu, že k tvým datům nemá přístup nikdo jiný než ty.

Popis a srovnání cloudových řešení

pCloud

pCloud sídlí ve Švýcarsku (s datovými centry v EU a v USA - můžeš si vybrat EU). Mají v současnosti přibližně 24 milionů zákazníků. Platba za jejich úložiště je buď měsíční, roční anebo celoživotní. Na cloud se dostaneš přes aplikaci dostupnou na Windows, MacOS, Linux a Android.

pCloud také nabízí volitelný placený doplněk pCloud Crypto. Když si ho koupíš, tak získáš na serveru "client-side" šifrovanou složku. Data se zašifrují u tebe a zašifrovaná se nahrají do cloudu na server. Pokud ztratíš klíč, tak o data definitivně přijdeš - to je daň za zero-knowledge model. Pokud jde o data mimo pCloud Crypto, ty mohou být při ztrátě hesla obnovena pouze s pCloud Recovery Key, ten dostaneš při registraci do pCloudu a musíš si ho pečlivě uschovat. Bez něj data na serveru obnovit nejde.

Internxt

Internxt sídlí ve Španělsku (EU) a je plně GDPR compliant. Evropská legislativa nabízí mnohem silnější ochranu soukromí než americká.

Zatímco Google Drive i pCloud jsou uzavřený (closed-source) software, Internxt je open-source. To znamená, že nezávislí vývojáři a bezpečnostní experti mohou kdykoliv zkoumat kód a ověřit, že služba skutečně dělá to, co říká (a že v ní nejsou skryté zadní vrátka). Jejich desktopové, mobilní i webové aplikace jsou na Githubu. Pro komunitu zaměřenou na soukromí je to obrovská výhoda.

Všechny soubory se šifrují na tvém zařízení ještě před nahráním. Internxt nezná tvé heslo a nemá k souborům přístup. Pokud zapomeneš heslo, data jsou ztracena - úplně stejně jako u pCloud Crypto. Soubory neleží na jednom obřím serveru, ale jsou rozděleny a uloženy na různých serverech po světě. Pokud jeden server má výpadek, o data nepřijdeš. Ztěžuje to i případný fyzický útok na servery.

Google cloud

Zmíním tady ještě Google cloud, na který se mnozí jistě ptají. Google Drive není dlouhodobě levnější. Ačkoliv se Google Drive může zdát levný měsíčně, jde o předplatné, které platíš navždy. Jakmile přestaneš platit, přijdeš o storage. pCloud a Internxt nabízejí Lifetime (doživotní) plány.

Google je společnost, která sbírá behaviorální vzorce a vytváří profil uživatele i ze šifrovaných dat. pCloud a Internxt jsou primárně storage společnosti - jejich byznys model není založen na profilování uživatelů. V neposlední řadě jde také o jurisdikci a právní ochranu, pod kterou společnost spadá (USA vs. EU/Švýcarsko).

Google Drive spadá také pod americké zákony (CLOUD Act, Patriot Act). Americké úřady mohou po Google vyžádat tvá data (i když vidí jen šifrované soubory) a Google je musí vydat, často bez toho, aniž bys o tom věděl.

Srovnání cloudových řešení

Pokud tě po zvážení výše uvedených argumentů přesvědčil pCloud a chceš přejít na založení cloud účtu, link je níže. Lifetime plan ti zajistí cloudové úložiště na celý život. Získáš dostatek prostoru pro běžné zálohování dokumentů, fotek i videí. A jak už jsem zmiňoval výše - doporučuji si rovnou při registraci uložit pCloud Recovery Key na bezpečné místo.

Pokud tě po zvažení výše uvedených argumentů zaujal Internxt a chceš přejít na jejich tarif, odkaz pro založení účtu najdeš níže. Internxt nabízí doživotní licence (Lifetime), takže zaplatíš jednou a nemusíš se starat o měsíční předplatné. A na rozdíl od pCloudu nepotřebuješ žádný Recovery Key — ale zato si musíš heslo k účtu uložit opravdu pečlivě. Internxt je plně zero-knowledge, takže pokud heslo zapomeneš, data jsou nenávratně ztracena. Žádná obnova přes email, žádná zákaznická podpora, žádné zadní vrátka. To je daň za skutečné soukromí.

Z důvodu velmi strohého nastavení Internxt klienta se mi nepodařilo nakonfigurovat Cryptomatora, tak aby zašifroval úložište.

SW pro šifrování dat

V této kapitole si popíšeme vlastnosti a vhodnost SW pro šifrování dat. Nejprve, ale jak je to s tím cloudem? Potřebujeme data ještě vůbec šifrovat, když už v cloudu (Internxt a pCloud Crypto) šifrovaná jsou? Popravdě, když budeme trochu paranoidní, tak 100% jistota je, jen když si ty data zašifrujeme sami v lokálním úložišti, ještě předtím, než je odešleme na cloud.

Existuje několik řešení, která fungují na principu, že šifrují data lokálně a pak je synchronizují s cloudem. Zde jsou hlavní alternativy:

1. VeraCrypt (Nejlepší pro lokální šifrování)

VeraCrypt vytváří virtuální šifrované disky nebo kontejnery, ale není ideální pro cloudovou synchronizaci.

Proč ne pro cloud:

• VeraCrypt balí všechna data do jednoho velkého souboru (kontejneru).
• Když změníš jeden soubor uvnitř, musí se znovu nahrát celý kontejner.
• Pokud otevřeš stejný kontejner na notebooku a smartphonu, riskuješ konflikty, ztrátu dat nebo poškození.

Kdy použít:

• Pro lokální šifrování celých disků nebo partition.
• Pro vytvoření jednoho fixního archivu, který nahraješ do cloudu jako celek.

2. Rclone (Nejlepší pro pokročilé uživatele)

Rclone je command-line utilita pro synchronizaci s cloudovými poskytovateli s integrovaným šifrováním.

Výhody:

• Podporuje více než 40 cloudových služeb (Google Drive, Dropbox, OneDrive, S3, atd.).
• Nabízí šifrování souborů i názvů souborů.
• Nepotřebuje proprietární klienty pro cloudovou synchronizaci.
• Hash-based integrity checks.

Nevýhody:

• Pouze command-line (žádné GUI).
• Vyžaduje technické znalosti.

3. gocryptfs (Rychlejší alternativa)

gocryptfs je open-source šifrovací souborový systém, který šifruje jednotlivé soubory (podobně jako Cryptomator).

Výhody:

• Rychlejší než Cryptomator (uživatelé hlásí zkrácení startovacích časů ze 50 sekund na 6 sekund).
• Šifruje jednotlivé soubory, takže je vhodný pro cloudovou synchronizaci.

Nevýhody:

• Menší komunita a méně uživatelsky přívětivý než Cryptomator.
• Omezená podpora platforem.

4. EncFS (Starší alternativa)

EncFS je open-source šifrování souborů pro Linux.

Problémy:

• Z bezpečnostních auditů vyplývají zastaralé kryptografické praktiky.
• Používá stejný klíč pro šifrování i autentizaci.
• Nedoporučuje se pro nové instalace.

5. Cryptomator (Nejlepší pro cloudová úložiště)

Cryptomator byl navržen specificky pro cloudové úložiště.

1. Per-file šifrování: Když změníš jeden soubor, nahraje se jen ten jeden, ne celý kontejner.
2. AES-256 šifrování: Dostatečné pro bezpečné cloudové úložiště.
3. Open-source: Žádné backdoory, kód auditován společností Cure53.
4. Cross-platform: Funguje na Windows, macOS, Linuxu, iOS i Androidu.
5. Zdarma: Desktopová verze je zdarma a open-source.

Tab. 1: Srovnání šifrovacích nástrojů

Na základě výše uvedeného jsem jako SW pro šifrování vybral právě Cryptomatora. V praktické části tohoto článku se budu zabývat popisem funkce, instalací a konfigurací Cryptomatora v operačním systému Windows 11.

Jak funguje Cryptomator

Cryptomator nefunguje tak, že by vytvořil jeden velký kontejner (jako VeraCrypt). Místo toho funguje jako průhledná šifrovací vrstva mezi tebou a pCloudem (dále jen Cloud).

Průběh instalace a funkce na PC:

1. Nainstaluji Cryptomatora a dám vytvořit nový trezor v c:\test
2. Nainstaluji pCloud klienta a určím mu, že sync složka bude na c:\test
3. Nový trezor bude namapovaný např. jako virtuální disk X:
4. Budu ukládat data do X: a ty se budou on the fly šifrovat a automaticky ukládat přes synchronizaci cloud klienta do cloudu

Upozornění: Data vždy ukládej přes virtuální disk X:, nikdy ne přímo do c:\test! Data by se tak do cloudu ukládala nešifrovaná.

Konkrétní příklad

Představ si, že máš soubor cryptomator_manual.pdf:

Bez Cryptomatoru:

Ty → Cloud server
cryptomator_manual.pdf → cryptomator_manual.pdf
(Cloud vidí obsah, může ho indexovat)

S Cryptomatorem:

Ty → Cryptomator → Cloud server
cryptomator_manual.pdf → [šifrování] → f8a3b2c9d1e7...pdf
(Cloud vidí jen šifrovaný blob, neví, co to je)

Co přesně Cryptomator dělá

1. Vytvoří virtuální disk

Když trezor odemkneš, objeví se v systému nový disk (např. X:). Vypadá a funguje jako normální disk - můžeš tam kopírovat soubory, mazat je, vytvářet složky.

2. Šifruje každý soubor zvlášť

Když uložíš soubor do virtuálního disku, Cryptomator:

1. Přečte soubor
2. Zašifruje ho pomocí AES-256
3. Zašifrovaný soubor zapíše do cílové složky (např. pCloud/Cryptomator Vault/)

3. Šifruje i názvy souborů

To je důležité. Když uložíš cryptomator_manual.pdf, do Cloudu se neuloží jako cryptomator_manual.pdf, ale jako např. f8a3b2c9d1e7f4a2.pdf. Cloud neví, jak se soubor jmenuje.

4. Šifruje i strukturu složek

I názvy složek jsou šifrované. Cloud vidí jen:

/Cryptomator Vault/
  /d5a1e7b9c3f2.../
    /a8b2c7d4e1f6.../
      f8a3b2c9d1e7...pdf
      b3c1d9e7a2f5...docx

5. Uchovává klíč lokálně

Hlavní šifrovací klíč je uložen jako tzv. masterkey.cryptomator soubor uvnitř trezoru. Tento soubor je sám o sobě zašifrovaný tvým heslem. Bez tvého hesla nelze klíč rozšifrovat.

Jak to vypadá v praxi?

Na tvém počítači:

X: (virtuální disk - normálně viditelné)
├── Dokumenty/
│   ├── cryptomator_manual.pdf
│   └── smlouva.docx
└── Fotky/
    └── dovolena.jpg

Cloud/Cryptomator Vault/ (šifrované)
├── d5a1e7b9c3f2.../
│   ├── f8a3b2c9d1e7...pdf
│   └── b3c1d9e7a2f5...docx
└── a8b2c7d4e1f6.../
    └── c9d1e7b3a2f5...jpg

Na serveru v Cloudu:

Cloud vidí jen:
├── d5a1e7b9c3f2.../
│   ├── f8a3b2c9d1e7...pdf
│   └── b3c1d9e7a2f5...docx
└── a8b2c7d4e1f6.../
    └── c9d1e7b3a2f5...jpg

Cloud neví:

• Jak se soubory jmenují
• Jaké jsou jejich obsahy
• Jaká je struktura složek

Cloud tedy nevidí obsah ani jména souborů, obsah bude jen nečitelný binární kód, takže se nabízí otázka, jak to je, když se např. připojím z jiného PC do Cloudu. Ano, tehdy opravdu nemáš přístup ke svým datům - uvidíš jen výše zmíněné zašifrované soubory. Jak se tedy ke svým datům dostaneš? Je to jednoduché.

Postup na druhém PC tedy vypadá takto:

1. Nejprve si na nové PC stáhneš a nainstaluješ klienta Cloudu. Přihlásíš se svým účtem a nastavíš si synchronizaci. Tím se ti z cloudu na nové PC stáhne tvá složka s trezorem. V této fázi uvidíš v té složce jen nesrozumitelné šifrované soubory (žádné fotky, žádné dokumenty).
2. Stáhneš a nainstaluješ aplikaci Cryptomator.
3. Otevřeš Cryptomator a neklikneš na "Nový trezor", ale zvolíš "Otevřít existující trezor" (Open existing vault). Nasměruješ ho do té složky, kterou ti právě stáhl pCloud klient. Cryptomator rozpozná soubor vault.cryptomator (nebo dříve masterkey.cryptomator), zeptá se tě na heslo k trezoru, a jakmile ho zadáš, trezor se odemkne.
4. Pomocí odšifrovaného masterkey odemkne tvé soubory a připojí je jako nový virtuální disk.

Co to znamená pro bezpečnost

• Tvé heslo nikdy neopustilo tvůj počítač. Neodeslalo se do pCloudu, neuložilo se nikde na serveru.
• Pokud by se k tvému pCloud účtu dostal hacker, stáhne si sice tvá data a ten soubor s klíčem, ale bez tvého hesla je to pro něj jen hromada nesmyslných znaků.
• Heslo existuje pouze v tvé hlavě (případně ve tvém správci hesel).

Jediné, co si musíš pamatovat (nebo kam si to uložit), je tvé heslo k trezoru.

Proč je to lepší než pCloud Crypto

pCloud nabízí vlastní šifrování (pCloud Crypto), ale má nevýhody:

Cryptomator - instalace a konfigurace

Na první PC stáhneme Cryptomatora z jejich webu cryptomator.org/downloads. Spustíme instalaci a vytvoříme nový trezor kliknutím na tlačítko "+" viz. obrázek níže. Ještě vybereme umístění úložiště.

Obr.1: Výběr nového úložiště

Podle obrázku 1 zvolíme "Create new vault..." pro vytvoření nového úložiště. Dále postupujeme podle obrázků níže.

Obr.2: Výběr umístění úložiště

Obr.3: Volba hesla a recovery key

Obr.4: Zobrazení recovery key

Na obrázku 4 můžeme vidět recovery key. Ten pečlivě uschováme pro případ ztráty hesla.

Obr.5: Odemknutí trezoru

Obr.6: Dokončení instalace

Obr.7: Zobrazení úložiště namapovaného jako disk D:

Na obrázku 7 můžeme vidět velké zelené tlačítko s nápisem "Zobrazit jednotku D:". To znamená, že úložiště se nám namapovalo na disk D:. Tam budeme ukládat data a ony se budou šifrovat.

Ze stránek pCloud si stáhneme pCloud klienta pcloud.com/download a pokud ještě nemáš zřízený účet u pCloud, tak odkaz na něho je:

Po stažení nainstalujeme klienta. Během instalace se přihlásíme na námi zřízený účet, pokud to bude vyžadováno.

Obr.8: Konfigurace pCloud klienta

Na obrázku 8 je pCloud klient po instalaci. V levém sloupci vybereme položku "Sync" a pak v dolní části obrazovky "Sync folder". Nakonec pomocí tlačítek "Change" vybereme cestu k úložišti.

Obr.9: Nakonfigurovaný klient pCloud

Na obrázku 9 vidíme, jak vypadá pCloud klient nakonfigurovaný. Pokud bychom chtěli přidat další úložiště, stačí kliknout na "Add folder".

To je vše na PC1.

Konfigurace na druhém PC

Na druhém PC stáhneme pCloud klienta pcloud.com/download.

Obr.10: Konfigurace klienta na druhém PC

Po instalaci klikneme na tlačítko v levém sloupci "Sync" a následně dole na obrazovce "Sync folder".

Obr.11: Výběr umístění úložiště

Na obrázku 11 vybíráme umístění pCloud uložiště.

Obr.12: Dokončená konfigurace umístění úložiště

Na obrázku 12 můžeme vidět dokončení konfigurace umístění úložiště - vybereme "Start Sync".

Obr.13: Volba úložiště

Spustíme instalaci Cryptomatora a pokračujeme podle obrázku 13, zvolíme "Open Existing vault..."

Obr.14: Info ohledně výběru klíče

Na obrázku 14 vybíráme klíč, kterým byl vault šifrován. Vybereme vault.cryptomator, když nebude, tak zvolíme masterkey.cryptomator.

Obr.15: Výběr klíče

Obr.16: Zadání hesla, kterým je klíč šifrován

Obr.17: Namapování úložiště na disk E:

Nyní máme synchronizovanou složku na disk E:.

Závěr

Tak a máme hotovo. Teď máme instalovaného a nakonfigurovaného Cryptomatora a pCloud klienta na obou PC. Ještě dodám, že desktopová verze Cryptomatoru je zcela zdarma. Mobilní aplikace pro iOS a Android jsou zdarma ke stažení, ale umožňují pouze čtení souborů. Pro zápis je potřeba jednorázový nákup licence přímo v aplikaci.

Pokud tě zajímá, jak utratit krypto bez toho, aby o tom věděla banka, jak oddělit tvou identitu od tvých peněz, přečti si moji recenzi ether.fi Cash Card. Nakonec zmíním ještě článek Šifrovaný e-mail - Protonmail ve kterém pojednávám o e-mailu z důrazem na soukromí a bezpečnost.