Как расшифровать файлы eCryptfs, которые были восстановлены с помощью PhotoRec из поврежденного раздела

522
A. Gh.

Я использовал photorec - с достаточной степенью успеха - для восстановления файлов с поврежденного домашнего раздела, где дома пользователей были зашифрованы с помощью ecryptfs в Ubuntu.

Восстановленные файлы теперь называются похожими на f5345000.eCryptfs. Я предполагаю, что не все файлы из исходного набора были восстановлены. Более того, структура каталогов больше не существует.

В eCryptfs было включено шифрование имени файла, которое используется по умолчанию в Ubuntu.

Предполагая, что у меня есть парольная фраза eCryptFS. Можно ли расшифровать эти файлы? Как это можно сделать?

2
* Возможно ли расшифровать эти файлы? * Скорее всего, нет, но я не эксперт, поэтому вам следует дождаться ответов или других комментариев. 5 лет назад 0

1 ответ на вопрос

0
Xen2050

Для eCryptfs обычно требуется wrapped-passphraseфайл, в котором хранится фактический ключ шифрования («пароль для монтирования»), или вам нужна сама пароль для монтирования.

Если у вас есть один из них, вы можете попытаться ecryptfs-recover-private«найти и смонтировать любые зашифрованные частные каталоги». Поскольку имена файлов были зашифрованы, я не думаю, что они могли быть восстановлены, их имена были зашифрованы в именах файлов и photorecобычно не восстанавливают имена файлов (что также затрудняет поиск wrapped-passphraseфайла) - я полагаю testdisk, не повезло?

ecryptfs-recover-private нужны файлы в определенных каталогах:

  • зашифрованные файлы в .Private
  • wrapped-passphraseв $d/../.ecryptfs/wrapped-passphrase(где $ d .Privateили именованный каталог)

Если вы не укажете, какой каталог расшифровывать (не обязательно указывать конкретное имя .Private). Мой другой ответ здесь содержит больше информации о eCryptfs, включая общую схему.

ecryptfs-recover-privateэто всего лишь сценарий оболочки, поэтому, если у вас возникли трудности, вы можете попробовать выполнить его вручную, если хотите. В терминале, чтобы быстро увидеть это просто использовать

less `which ecryptfs-recover-private` 

Я не думаю, что eCryptfs требует каждый исходный файл для успешной расшифровки (в противном случае удаление отдельного файла может стать проблемой), но некоторые из восстановленных файлов могут быть усечены или иметь плохие данные, так что это определенно не гарантируется.

И если бы были зашифрованные файлы нескольких пользователей, они также имели бы разные парольные фразы монтирования, но, photorecвероятно, восстановили все файлы в одной большой группе. Это означает попытку расшифровать все файлы с каждой отдельной парольной фразой монтирования, по одному, и посмотреть, работает ли что-нибудь. Резервные копии, безусловно, предпочтительнее!

Похожие вопросы