Jde o modul systému FUSE¹⁾, který transparentně šifruje a dešifruje data i názvy souborů.

V datovém úložišti je ENCFS možné kombinovat se systémy pro připojení vzdáleného adresáře a tím docílit bezpečné uložení dat s šifrováním na klientské straně - tj. data v nešifrované podobě neopustí počítač uživatele.

• balíček fuse
• balíček encfs
• pro NFS resp. SSHFS pak viz. příslušné návody - NFS a SSHFS

V principu lze ENCFS použít i lokálně (tj. bez síťového připojení vzdáleného adresáře) pouze k zpřístupnění zašifrovaných dat.
Tato varianta není sice použitelná s datovým úložištěm, ale je nejjednodušší jako zkouška správné konfigurace ENCFS vrstvy.

Příprava adresářů (.private pro zašifrovaná data a mnt jako bod připojení dat v rozšifrovaném stavu)

$ mkdir .private mnt

Prvním spuštěním příkazu encfs provedeme inicializaci šifrovaného prostoru, při dalších spuštěních se příkaz už pouze zeptá na heslo (pak už vždy jen jednou).

Program se zeptá na variantu konfigurace - doporučujeme „standard mode“ (zadává se prázdný řádek):

$ encfs ${PWD}/.private ${PWD}/mnt
Creating new encrypted volume.
Please choose from one of the following options:
 enter "x" for expert configuration mode,
 enter "p" for pre-configured paranoia mode,
 anything else, or an empty line will select standard mode.
?> 

Standard configuration selected.

Configuration finished.  The filesystem to be created has
the following properties:
Filesystem cipher: "ssl/aes", version 3:0:2
Filename encoding: "nameio/block", version 3:0:1
Key Size: 192 bits
Block Size: 1024 bytes
Each file contains 8 byte header with unique IV data.
Filenames encoded using IV chaining mode.
File holes passed through to ciphertext.

Now you will need to enter a password for your filesystem.
You will need to remember this password, as there is absolutely
no recovery mechanism.  However, the password can be changed
later using encfsctl.

Poté je potřeba dvakrát zadat přístupové heslo (mělo by být dostatečně silné - uměrně důvěrnosti dat):

New Encfs Password: tajneheslo
Verify Encfs Password: tajneheslo

Adresář by měl být v tuto chvíli již připojen - můžeme ověřit příkazem mount:

$ mount | grep encfs
encfs on /home/user/mnt type fuse.encfs (rw,nosuid,nodev,default_permissions,user=user)

Zatím jsou adresáře prázdné:

$ tree mnt/
mnt/

0 directories, 0 files

$ tree .private/
.private/

0 directories, 0 files

Do nešifrované části teď můžeme vytvářet adresáře a zapisovat soubory - například:

$ mkdir -p mnt/d1/d11 mnt/d2 mnt/d3
$ echo "data" > mnt/d1/d11/file11.txt

Data se objevují v obou adresářích, v části .private jsou šifrovaná:

$ tree mnt/
mnt/
|-- d1
|   `-- d11
|       `-- file11.txt
|-- d2
`-- d3
4 directories, 1 file

$ tree .private/
.private/
|-- qRGNFVqtAMcA0aOAWTkn0h1I
|   `-- 7sJ78NEr5Phv5eRvE2bm-VCN
|       `-- cJHbtOnV7nSy9tMf6iWkgh9t
|-- ,Wjp3Cup0wLEOv-pvn6rY-hz
`-- HiRnQGsyjn1LM-cN5z9G4nkV
4 directories, 1 file

Odpojení adresáře:

$ fusermount -u mnt

Nešifrovaná část je odpojena, data v šifrované části zůstávají:

$ tree mnt/
mnt/

0 directories, 0 files

$ tree .private/
.private/
|-- qRGNFVqtAMcA0aOAWTkn0h1I
|   `-- 7sJ78NEr5Phv5eRvE2bm-VCN
|       `-- cJHbtOnV7nSy9tMf6iWkgh9t
|-- ,Wjp3Cup0wLEOv-pvn6rY-hz
`-- HiRnQGsyjn1LM-cN5z9G4nkV
4 directories, 1 file

Příklad opětovného připojení (již bez dotazů na konfiguraci):

$ encfs ${PWD}/.private ${PWD}/mnt
EncFS Password: tajneheslo

Předpokládejme nfs-mnt jako bod, kam je připojen vzdálený NFS adresář (viz. NFS návod).

ENCFS použijeme podobně jako při lokálním použití:

$ encfs ${PWD}/nfs-mnt/.private ${PWD}/mnt

Pozor: přípojný bod mnt musí být lokální - neměl by ležet na vzdáleném prostoru připojeném přes NFS.

Celý postup (fusermount atd.) je i dále analogický jako u varianty Lokální použití.

Předpokládejme sshfs-mnt jako bod, kam připojíme vzdálený adresář pomocí SSHFS (viz. SSHFS návod).

Příklad připojení SSHFS:

$ sshfs -o idmap=user username@ssh.du1.cesnet.cz:/VO_storage/home/username sshfs-mnt

ENCFS použijeme podobně jako v předchozích variantách:

$ encfs ${PWD}/sshfs-mnt/.private ${PWD}/mnt

Pozor: přípojný bod mnt musí být lokální - neměl by ležet na vzdáleném prostoru připojeném přes SSHFS.

Celý postup (fusermount atd.) je i dále analogický jako u varianty Lokální použití.