LinuxParty

¿Qué es FScrypt?

FScrypt es un sistema de cifrado de archivos a nivel de sistema de ficheros (file-system-level encryption) desarrollado para Linux. Está disponible en sistemas de archivos como ext4, F2FS y UBIFS, y permite cifrar directorios individuales sin necesidad de montar volúmenes separados o utilizar contenedores cifrados.

FScrypt se integra directamente con el kernel de Linux y permite configurar el cifrado de carpetas de forma transparente para los usuarios y programas autorizados, pero inaccesible para los usuarios no autorizados.

Ventajas de FScrypt

FScrypt es una excelente opción para cifrar carpetas en Linux sin complicaciones, ideal para backups locales cifrados, datos de usuarios o protección de archivos sensibles. Su integración con PAM y el kernel lo hace especialmente adecuado para sistemas modernos que requieren seguridad y automatización.

Si necesitas una configuración automatizada para servidores o sistemas multiusuario, FScrypt proporciona la flexibilidad y robustez necesarias con bajo impacto en el rendimiento.

• Cifrado transparente a nivel de carpeta.
• Sin necesidad de montar volúmenes.
• Se integra con PAM y login del sistema.
• Múltiples claves y políticas por usuario y carpeta.
• Ideal para cifrado de datos en portátiles, copias de seguridad locales y protección de datos sensibles.

Requisitos previos

• Sistema de archivos ext4 o F2FS con soporte de cifrado.
• Kernel Linux 4.1+ (recomendado 5.4+).
• Paquete fscrypt instalado.
• Partición montada con la opción encrypt.

Comprobación de soporte:

grep -i fscrypt /proc/filesystems

Instalación de FScrypt

En Debian/Ubuntu:

sudo apt update
sudo apt install fscrypt

En Fedora / AlmaLinux / RedHat, etc:

sudo dnf install fscrypt

En Arch Linux:

sudo pacman -S fscrypt

Preparación del sistema de archivos

Paso 1: Comprobar que el sistema de archivos admite cifrado

sudo tune2fs -l /dev/sdX | grep 'Filesystem features'

Debe aparecer encrypt en la lista de características.

Si no aparece, puedes activarlo con:

sudo tune2fs -O encrypt /dev/sdX

Atención: Esto requiere desmontar la partición y puede ser riesgoso. Haz backup antes.

Paso 2: Asegurar que el sistema está montado con encrypt

Asegúrate de que la opción encrypt está en /etc/fstab, por ejemplo:

/dev/sdX1 /mnt/data ext4 defaults,encrypt 0 2

Luego, vuelve a montar:

sudo mount -o remount /mnt/data

Inicialización de FScrypt

sudo fscrypt setup /mnt/data

Esto inicializa los metadatos del sistema para FScrypt.

Crear una política de cifrado y aplicarla

Supongamos que quieres cifrar /mnt/data/backup.

Paso 1: Crear la carpeta si no existe

sudo mkdir -p /mnt/data/backup

Paso 2: Aplicar cifrado

sudo fscrypt encrypt /mnt/data/backup --user=$(whoami)

Este comando te pedirá crear una clave. Puedes asociarla a tu contraseña de inicio de sesión para que se desbloquee automáticamente al iniciar sesión:

sudo fscrypt encrypt /mnt/data/backup --user=$(whoami) --source=pam_passphrase

Ver estado de carpetas cifradas

fscrypt status /mnt/data/backup

Ver todas las carpetas protegidas:

fscrypt status /mnt/data

Copia de seguridad cifrada (desatendida)

Escenario: Automatizar backups cifrados a /mnt/data/backup

Puedes usar rsync, borg, restic u otra herramienta de backup, y dirigir la salida a una carpeta cifrada con FScrypt:

rsync -a /home/user/documents/ /mnt/data/backup/

Si tu sesión está activa y la clave cargada, el cifrado se realiza de forma automática sin intervención adicional.

Para servidores sin login, puedes desbloquear manualmente al iniciar con:

echo "tu_clave" | fscrypt unlock /mnt/data/backup

(Recomendado usar un gestor de claves automático o script con permisos restringidos).

Eliminación o bloqueo de una carpeta cifrada

Bloquear carpeta (hace que los archivos no sean legibles hasta que se desbloquee):

fscrypt lock /mnt/data/backup

Desbloquear:

fscrypt unlock /mnt/data/backup

Consideraciones de seguridad

• Protege bien tu contraseña o archivo clave.
• FScrypt no cifra nombres de directorios si no se configura con esa opción.
• Haz siempre backup de tus claves y guarda el fscrypt metadata si migras discos.