Vor einiger Zeit habe ich wichtige Daten meines Heimatverzeichnisses verschlüsselt. Hierfür habe ich das mit ecryptfs verschlüsselte Private-Verzeichnis unter Kubuntu verwendet.
Im Großen Ganzen war ich damit auch zufrieden. Es gab allerdings zwei Probleme mit denen ich immer wieder zu kämpfen hatte:

• Nach dem Ausloggen aus KDE wurde beim erneuten Einloggen das Private Verzeichnis nicht mehr gemountet (siehe auch: https://bugs.launchpad.net/ubuntu/+bug/779308)
• Das Starten von digikam (> 13000 Bilder) dauerte eine Ewigkeit ( ca. 5 Minuten).

Die Digikam Performanceprobleme habe ich mit strace analysiert und dabei ist mir aufgefallen, dass Digikam bei jedem Start für jedes Foto ein stat64 Aufruf macht. Dies scheint unter ecryptfs sehr I/O Intensiv und damit langsam zu sein.

Aus dem oben genannten Gründen habe ich deshalb mein /home logical Volume über LUKS mit AES verschlüsselt.

So richtet man unter Kubuntu die Verschlüsselung eines Volumes nachträglich ein

Zunächst wird eine Partition bzw. ein Logical Volume benötigt. Im Beispiel verwende ich ein Logical Volume. Anlegen des Logical Volumes mit lvcreate:

root@kiste:/home/volker# lvcreate -n testcrypt -L 1G datavg

Logical volume "testcrypt" created

Anschließend muss das Logical Volume für die Verwendung mit LUKS initialisiert werden. Hierbei muss die Passphrase angegeben werden, die auch beim Entschlüsseln benötigt wird:

root@kiste:/home/volker# cryptsetup luksFormat /dev/datavg/testcrypt

WARNING!

========

This will overwrite data on /dev/datavg/testcrypt irrevocably.

Are you sure? (Type uppercase yes): YES

Enter LUKS passphrase:

Verify passphrase:

Um mit dem Volume arbeiten zu können muss dies nun geöffnet werden. Hierfür muss die oben angegeben Passphrase angegeben werden:

root@kiste:/home/volker# cryptsetup luksOpen /dev/datavg/testcrypt cryptedtest

Enter passphrase for /dev/datavg/testcrypt:

Unter /dev/mapper gibt es nun ein Gerät mit dem oben angegebenen Namen cryptedtest (falls nicht, dann evtl folgendes ausführen: /etc/init.d/cryptdisks reload):

root@kiste:/home/volker# ls -ltrs /dev/mapper/

total 0

0 crw------- 1 root root 10, 236 2011-05-29 18:38 control

0 lrwxrwxrwx 1 root root 7 2011-05-29 18:38 datavg-datalv -> ../dm-1

0 lrwxrwxrwx 1 root root 7 2011-05-29 18:38 datavg-swaplv -> ../dm-2

0 lrwxrwxrwx 1 root root 7 2011-05-29 19:00 cryptedtest -> ../dm-7

Auf diesem Gerät kann nun ein Dateisystem erstellt werden:

root@kiste:/home/volker# mkfs.ext4 /dev/mapper/cryptedtest

mke2fs 1.41.14 (22-Dec-2010)

[...]

Writing inode tables: done

Creating journal (4096 blocks): done

Writing superblocks and filesystem accounting information: done

This filesystem will be automatically checked every 39 mounts or

180 days, whichever comes first. Use tune2fs -c or -i to override.

Und das Dateisystem kann nun gemountet werden:

root@kiste:/tmp# mkdir cryptmount

root@kiste:/tmp# mount /dev/mapper/cryptedtest cryptmount

root@kiste:/tmp# df -h /tmp/cryptmount

Filesystem Size Used Avail Use% Mounted on

/dev/mapper/cryptedtest

1007M 18M 939M 2% /tmp/cryptmount

Damit das Dateisystem nun beim Neustart automatisch gemountet wird, muss das logical Volume in der /etc/fstab und /etc/crypttab eingetragen werden.

/etc/crypttab

# <target name> <source device> <key file> <options>

cryptedtest /dev/datavg/testcrypt none luks

/etc/fstab

/dev/mapper/cryptedtest /mnt/testmount ext4 defaults 1

Anschließend sollte die initial Ramdisk neu geschrieben werden (bin mir nicht 100% sicher ob das wirklich nötig ist – geschadet hats nicht)

root@kiste:/tmp# dpkg-reconfigure initramfs-tools

update-initramfs: Generating /boot/initrd.img-2.6.38-8-generic

Beim Reboot wird nun vor dem start des KDM / GDM nach der Passphrase für das LUKS Volume gefragt und dies anschließend gemountet.

Um Fehler schneller lokalisieren und beheben zu können habe ich eine Checkliste erstellt, die vielleicht dem einen oder anderen etwas weiterhilft.

Die Checkliste beruht auf den Erfahrungen, die ich in der folgender Systemlandschaft gesammelt habe:

Kerberos Clients:

• Linux: Opensuse 11.3 (Apache Authentisierung)
• AIX 6.1 (Samba, NFSv4)

Kerberos Server:

• Microsoft Windows KDC (Windows 2003 DC + Windows 2008 DC)

Checkliste

Grundlegendes prüfen

• Systemzeit prüfen (Probleme sind zu erwarten bei einem Unterschied von mehr als 5 Minuten)
• DNS Einträge prüfen (Vorwärts- und Rückwärtsauflösung der beteiligten Rechner)
• Funktioniert ein kinit mit einem normalen Domänenbenutzer? kinit userid
  • Falls nicht, dann ist evtl. /etc/krb5.conf falsch konfiguriert (KDC / Realm / Verschlüsselung / … falsch?)

Keytab überprüfen

• Dateiberechtigungen des Keytabfiles prüfen (z.B. kann Apachebenutzer (wwwrun) das Keytab-File lesen?)
• Keytab anzeigen und prüfen: klist -e -k -t meine.keytab
• KVNO auf Kerberosserver prüfen (muss mit KVNO in Keytab übereinstimmen): kvno HTTP/meinhost.example.com
• Keytab Authentisierung prüfen kinit -t meine.keytab -k HTTP/meinhost.example.com@EXAMPLE.COM

weitere Prüfungen:

• Auf KDC Server(n) im Eventlog nach Fehlern schauen
  • werden z.B. Fehler bzgl. doppelten Benutzer/Computerkonten gemeldet.
• Verschlüsselungsalgorithmen in der Kerberos Config überprüfen
  • Falls Keytab mit +DesOnly angelegt wurde, dann in aktuellen OpenSuse Versionen in der krb5.conf allow_weak_crypto auf true setzen.
  • Ist in der Windows Domäne ein Windows 2008 KDC aufgenommen worden?
    • werden in der krb5.conf keine default-enctypes angegeben, dann versucht z.B. Opensuse 11.3 bei der Kommunikation mit einem Windows KDC (ab Windows 2008) die Daten mit AES256 zu verschlüsseln. Aufgrund von Inkompatibilitäten funktioniert dies leider nicht. Deshalb sollte in der krb5.conf im Linux sichergestellt werden, dass AES256 nicht verwendet wird. z.B. durch folgende Einträge:
      • default_tkt_enctypes = arcfour-hmac des-cbc-md5 des-cbc-crc
      • default_tgs_enctypes = arcfour-hmac des-cbc-md5 des-cbc-crc
• Prüfen ob Service/Host Principal mit einem Windowskonto verknüpft ist (auf dem KDC): setspn -L HTTP/meinhost.example.com

letzter Ausweg:

• Pakete mit tcpdump mitschneiden und analysieren.
  

Aus Datenschutzgründen kam das für mich nicht in Frage.

Ich habe mich deshalb nach Möglichkeiten umgesehen wie ich meine Daten zwischen KDE und Android auf andere Weise syncen kann und das Problem mit einem lokalen Funambol Server gelöst.

Folgende Softwarekomponenten habe ich hierfür verwendet:

Linux Laptop mit Kubuntu 10.10

• KDE 4.5.1 (akonadi / kontact / korganizer)
• Funambol Server 8.7.0
• Akunambol 0.2.1

HTC Magic

• Android 2.2.1
• CyanogenMod 6.1.0 RC1
• Funambol Android Sync 9.0.0 (Snapshot 20100830)

Installation des Funambol Servers

Das Installationspaket des Funambol Servers kann hier heruntergeladen werden: https://www.forge.funambol.org/download/

Anschließend muss das Installationsprogramm gestartet werden (Der Server kann mit einem normalen Benutzer installiert und betrieben werden):

volker@kiste:~/download/funambol$ ./funambol-8.7.0.bin

Do you agree to the above license terms? [yes or no]

yes

Directory to extract Funambol [/opt] <return to accept>?

/home/volker/Private

Directory to extract Funambol [/home/volker/Private] <return to accept>?

Unpacking...

Do you want to start the server? [yes or no]

yes

Nach der Installation lauscht der Server standardmäßig auf Port 8080.

Der Funambol Server lässt sich manuell folgendermaßen starten und stoppen:

cd <INSTALL_DIR>/bin

./funambol [start|stop]

Konfiguration des Funambol Servers

Für die Administration des Funambol Servers gibt es einen speziellen Admin Client, den man folgendermaßen startet <INSTALL_DIR>/admin/bin/funamboladmin.

Nach dem Starten des Administrations Tools sollte man erst einmal das Administrator Passwort ändern und einen Benutzer für das Syncen von Daten anlegen:

• Starten des Administrations Tools
• Im linken Fensterteil Doppelklick auf “Funambol Administrations Tool”
• Im Login Fenster einfach auf Login klicken
• Nun unter Server Settings-> Users das Passwort des admin Users ändern
• Nun Admin Tool beenden und neu einloggen (war bei mir nötig) und anschließend einen neuen “normalen” Benutzer mit der Rolle “User” anlegen.

Installation des Funambol Clients für Android

Wichtig: Falls Kalenderdaten gesynct werden sollen, dann auf jeden Fall die Version 9 des Clients verwenden (dies ist allerdings eine Entwicklerversion).

Der Client (apk-Paket) kann auf folgender Seite heruntergeladen werden: https://android-client.forge.funambol.org/ ( Documents & files -> Releases -> Funambol Sync Client v 9.0.0 (snapshot))

Das apk Paket wie gewohnt auf dem Android Smartphone installieren.

Nach dem Starten von “Funambol Sync” auf dem Android Smartphone muss man nun den zuvor installierten (und hoffentlich vom Android netzwerkmäßig erreichbaren) Funambol Server angeben.

• Username / Password: Hier den angelegten Benutzer mit “User” Rolle angeben
• Server Ulr: http://<funambol_server>:8080/funambol/ds

Anschließend sollte sich der Sync Client mit dem Server verbinden und sich die Kontakte und Kalenderdaten auf den Funambolserver syncen lassen.

KDE PIM Daten mit Funambol Server syncen

Für den Abgleich der Daten zwischen akonadi und dem Funambol Server wird das akunambol Tool benötigt.

Für die Installation unter Kubuntu 10.10 habe ich in der /etc/apt/sources.list folgende Einträge hinzugefügt:

# funambol client kde

deb http://ppa.launchpad.net/akunambol/ppa/ubuntu maverick main

deb-src http://ppa.launchpad.net/akunambol/ppa/ubuntu maverick main

Anschließend kann man die Software mit apt-get install akunambol installieren.

Nun kann man akunambol starten und konfigurieren:

Wichtig ist, dass die Remote URIs richtig angegeben sind, sonst schlägt der Sync fehl. Bei den Remote URIs müssen die SyncSources aus dem Funambol Server angegeben werden. Diese kann man sich über das Administration Tool des Funambol Servers angezeigen lassen. Siehe folgender Screenshot:

Nun sollte die Akonadi Konfiguration im KDE überprüft werden. Hierfür kann man z.B. Akonaditray verwenden.

Wichtig ist, dass Akonadi die angegebenen Resourcen auch ändern kann (Doppenklick auf eine Ressource und ggf. Read-only Haken entfernen).

Außerdem wichtig ist, dass die PIM eurer Wahl (bei mir Kontact und Korganizer) auch die Akonadi Ressourcen verwendet (bzw. Akonadi und Kontact/Korganizer die selben Ressourcen verwenden).

Ist dies gewährleisten dann kann nun versucht werden mit akunambol die Daten zwischen dem Funambol Server und Akonadi zu syncen.

War der Sync erfolgreich, dann müssten nun die Kontakte und Kalenderdaten vom Andoid in Kontact/Korganizer sichtbar sein.

Update:

Achtung: Der Funambol Android Sync 9.0.0 hat wohl noch Probleme ganztägige Termine zu syncen.

Update 2:

Nach dem Update auf KDE 4.6.2 ist akunambol beim Syncen immer gecrashed.
Nach dem manuellen kompilieren von akunambol funktioniert es auch unter kde 4.6.2. (siehe auch: http://old.nabble.com/-Bug-264585–New%3A-Akunambol-crash-on-KDE-4.6.0-while-sync-Contacts-td30784318.html#a30790886)

Update 3:

das manuelle kompilieren war wohl doch nicht auf Dauer erfolgreich… Ich habe inzwischen den Funambol Server auf Version 9.0 aktualisiert und erneut das aktuellste akunambol kompiliert. Jetzt scheint der Kalender wieder gesynct zu werden, aber die Kontakte lassen sich nicht syncen (akunambol(8421): 17:36:01 ERROR More than one address book, we need a way to pick one).

Wer selber kompilieren möchte:

wget -c http://anongit.kde.org/akunambol/akunambol-latest.tar.gz
cd akunambol
./initrepo.sh
mkdir build
cd build
cmake -DCMAKE_INSTALL_PREFIX=$KDEDIRS -DCMAKE_BUILD_TYPE=debugfull ..
make
make install or su -c 'make install'

Als aktiver Openstreetmap Mapper habe ich mich natürlich gleich gefragt, ob es nicht möglich wäre die Daten einfach aus Openstreetmap auszulesen, da diese dort größtenteils schon vorhanden sind. Damit könnte man sich das aufwendige Pflegen der Daten im Wiki sparen.

Für die Abfragen von POIs aus Openstreetmap kann man die XAPI verwenden. An die API-Server kann man über http sehr leicht Anfragen schicken. Als Antwort erhält man die gewünschten Daten im XML Format.

Beispiel:

Folgender Link liefert alle Nodes vom Typ amenity=restaurant im XML-Format zurück. Die bounding box (bbox) schränkt das Gebiet auf Schorndorf ein:

http://xapi.openstreetmap.org/api/0.6/node[amenity=restaurant][bbox=9.4908142,48.7810801,9.5660019,48.8387351]

Hier ein Ausschnitt aus den zurückgelieferten Daten:

<?xml version='1.0' standalone='no'?>
<osm version='0.6' generator='xapi: OSM Extended API 2.0' xmlns:xapi='http://www.informationfreeway.org/xapi/0.6' xapi:uri='/api/0.6/node[amenity=restaurant|fast_food|pub|cafe][bbox=9.4908142,48.7810801,9.5660019,48.8387351]' xapi:planetDate='20100824' xapi:copyright='2010 OpenStreetMap contributors' xapi:license='Creative commons CC-BY-SA 2.0' xapi:bugs='For assistance or to report bugs contact 80n80n@gmail.com' xapi:instance='zappyOsm'>
 <node id='721241970' lat='48.830856' lon='9.5116892' user='mabe75' timestamp='2010-05-04T19:01:28Z' uid='260302' version='1' changeset='4607010'>
 <tag k='amenity' v='restaurant'/>
 <tag k='name' v='Lamm'/>
 </node>
 <node id='392682646' lat='48.8315734' lon='9.5468864' user='MattGPS' timestamp='2010-05-11T19:00:20Z' uid='12973' version='3' changeset='4671372'>
 <tag k='amenity' v='restaurant'/>
 <tag k='name' v='Gasthaus an der Wieslauf'/>
 </node>
 <node id='319597380' lat='48.8277913' lon='9.5477029' timestamp='2008-12-17T21:13:15Z' version='1' changeset='444629'>
 <tag k='amenity' v='restaurant'/>
 <tag k='name' v='Gasthaus zur Linde'/>
 </node>
[...]

Nun haben wir die Daten im XML Format. Die Daten lassen sich nun mit Hilfe einer XSL Transformation (XSLT) z.B. in ansprechenden HTML-Code umwandeln.

Hierfür habe ich ein einfaches XSL Stylesheet (nodes.xsl) erstellt. Dieses erzeugt eine einfache HTML-Datei, die eine Openlayer Karte und eine Tabelle mit allen gefundenen Nodes enthält. Für jede Node befindet sich in der Karte ein Marker. Ich verwende zum Durchführen der XSL-Transformation die Anwendung xsltproc.

wget 'http://xapi.openstreetmap.org/api/0.6/node[amenity=restaurant][bbox=9.4908142,48.7810801,9.5660019,48.8387351]'
xsltproc nodes.xsl nodes.xml  > nodes.html

Den Quellcode für das XSL Stylesheet gibts hier als PDF: nodes.xsl.

Doku über die XAPI von Openstreetmap findet ihr hier: http://wiki.openstreetmap.org/wiki/Xapi

Hier ist ein einfaches Beispiel zum Anzeigen einer Karte mit Markern (wird auch in meinem XSL Code verwendet): http://wiki.openstreetmap.org/wiki/OpenLayers_Marker

Update: Inzwischen gibt es hier eine Demo Seite mit obigem Beispiel

Ich bin schon eine ganze Weile unzufrieden mit dem Backup meiner privaten Daten. Bisher habe ich in mehr oder weniger regelmäßigen Abständen die Daten auf eine externe USB-Platte gesichert. Die Sicherung auf Platte hat aber vor allem zwei Nachteile:

• Das Backup lässt sich schlecht automatisieren (da die Platte jedesmal manuell angeschlossen werden muss)
• Das Backup ist nicht räumlich getrennt von den Originaldaten. Bei z.B. einem Wohnungsbrand wären im Zweifel alle Daten verloren

Aus diesem Grund habe ich mir vorgenommen die wichtigsten meiner Daten zusätzlich über das Internet zu sichern.

Ich nehme an, dass auch aundere Leute sich Gedanken um Online Backups machen und habe deshalb einige Informationen zu dem Thema hier zusammengestellt. Der Artikel beschäftig sich auschließlich mit Backups unter Linux.

Welcher Anbieter?

In der Wikipedia gibt es eine ganz gut Übersicht über Anbieter von Online Backup Diensten.

Ich habe mir einige dieser Anbieter angesehen und mich letztendlich für einen ganz anderen entschieden. Und zwar für den Dienst Strato HiDrive. Ausschlaggebend waren für mich folgende Punkte:

• Strato ist ein deutscher Anbieter und muss sich an die vergleichsweise strengen Datenschutzgesetzte in Deutschland halten. Zum anderen kann man bei dem Dienst einfach per Bankeinzug bezahlen.
• Es werden sehr viele Protokolle unterstützt: smb, ftp, sftp, scp, webdav und was entscheidend war:  rsync!
• Ein nettes Feature ist außerdem das Anlegen von Snapshots (z.B. tägliche Snapshots oder manuelle Snapshots), die sich komplett wiederherstellen lassen.
• Meiner Meinung nach sind die Preise angemessen ( 3,90€ /Monat für 100 GB: Stand 28.07.2010)

Da es sich bei den Backups um sehr private Daten handelt ist es mir besonders wichtig, dass kein Unbefugter Zugang zu den Daten erhalten kann – auch kein Administrator von Strato. Deshalb müssen die Daten zuverlässig verschlüsselt werden.

Welche Verschlüsselungssoftware?

Für die Verschlüsselung kommen zwei grundlegend verschiedene Ansätze in Frage:

• Verwendung von verschlüsselten Partitionen oder Containern (TrueCrypt, dm-crypt, LUKS…)
• Verwendung verschlüsselter Verzeichnisse (Ecryptfs, Encfs)

Für Backups über das Internet (geringe Bandbreite) haben Ecryptfs und Encfs einen entscheidenden Vorteil. Beide verschlüsseln auf Dateiebene, und können deshalb einfach per rsync inkrementell gesichert werden.

Bei den anderen Verfahren ist das regelmäßige Sichern ganzer Container oder Partitionen über das Internet nicht praktikabel.

Aus diesen Gründen betrachte ich im Folgenden nur Ecryptfs und Encfs.

Ecryptfs

Ecryptfs wird in Ubuntu verwendet, um das ~/Private Verzeichnis zu verschlüsseln (http://wiki.ubuntuusers.de/ecryptfs-utils). Dies hab ich bisher eingesetzt und war damit auch zufrieden (warum ich zu encfs wechseln musste ist in den Hinweisen erläutert).

Unter ~/.Private werden die Daten verschlüsselt im Dateisystem gespeichert. – Dieses Verzeichnis wird dann unter ~/Private automatisch beim Anmelden gemountet. Über ~/Private kann man dann auf die entschlüsselten Daten zugreifen.

dummy@kiste:~$ ls -l .Private/
insgesamt 524
-rw-r--r-- 1 dummy dummy 466944 2009-12-03 19:12 ECRYPTFS_FNEK_ENCRYPTED.FWaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.HFD.GpjHXV7a.C2D3i2O7qU--
drwxr-xr-x 4 dummy dummy   4096 2009-12-03 19:10 ECRYPTFS_FNEK_ENCRYPTED.FWaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.HhcjptJ1jpHpq4RE-u5OhsU--
drwxr-xr-x 2 dummy dummy   4096 2009-12-03 19:10 ECRYPTFS_FNEK_ENCRYPTED.FWaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.H-lZjo5RNNFHOWf99S1D1kk--
-rw-r--r-- 1 dummy dummy  36864 2009-12-03 19:12 ECRYPTFS_FNEK_ENCRYPTED.FWaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.HT801TN.uzYWjul6XOl8aV---
-rw-r--r-- 1 dummy dummy  12288 2009-12-03 19:11 ECRYPTFS_FNEK_ENCRYPTED.FWaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.HVTkqLq-yXshQD95aNOrFAk--
-rw-r--r-- 1 dummy dummy  12288 2009-12-03 19:10 ECRYPTFS_FNEK_ENCRYPTED.FXaDK6X0QtKq3-RPjKXYmPiXaVkmO5fqpZ.HEVmJJE8T6yffoA1K.YJlARuB-EoEoA0QRZIHuG1Ji0g-

dummy@kiste:~$ ls -ltrs Private/
insgesamt 512
 4 drwxr-xr-x 2 dummy dummy   4096 2009-12-03 19:10 dosdevices
 4 drwxr-xr-x 4 dummy dummy   4096 2009-12-03 19:10 drive_c
 12 -rw-r--r-- 1 dummy dummy   2461 2009-12-03 19:11 userdef.reg
 36 -rw-r--r-- 1 dummy dummy  27631 2009-12-03 19:12 user.reg
456 -rw-r--r-- 1 dummy dummy 454968 2009-12-03 19:12 system.reg

Achtung: Dateinamen werden erst in aktuellen Ubuntu Versionen verschlüsselt (fnek Option). Wurde ein ~/Private Verzeichnis in einer älteren Version erstellt, dann kann es sein dass die Dateinamen nicht verschlüsselt sind (nur der Dateiinhalt).

Encfs

Encfs unterscheidet sich von Ecryptfs nur unwesentlich. Die Einrichtung kann unter Ubuntu allerdings etwas komplizierter sein. Wer einfach nur ein verschlüsseltes Verzeichnis irgendwo anlegen möchte, ohne dass dieses beim anmelden automatisch zur Verfügung steht, dem empfehle ich das Programm cryptkeepter (Installationn unter Ubuntu: apt-get install cryptkeeper). Dieses bietet eine einfache grafische Oberfläche zum Anlegen und Mounten der verschlüsselten Verzeichnisse. Sollen encfs Verzeichnisse beim Anmelden automatisch gemounted werden, dann muss manuell pam_encfs konfiguriert werden (eine gute Anleitung gibts hier: https://help.ubuntu.com/community/FolderEncryption).

Bei Encfs gibt es auch ein Verzeichnis mit den verschlüsselten Daten und einen Pfad über den auf die entschlüsselten Daten zugegriffen werden kann:

user@kiste:~$ ls -l .crypted_encfs
insgesamt 0
-rw-r--r-- 1 user user 0 2010-07-28 21:33 3Hghvpu,JQrhuovq-,v1bnmv
-rw-r--r-- 1 user user 0 2010-07-28 21:33 fOm83vxkl3Iq0yXMa0d5zFvl
-rw-r--r-- 1 user user 0 2010-07-28 21:33 ,jhvvli6Ex2oxNtYZndhd-Iu
-rw-r--r-- 1 user user 0 2010-07-28 21:33 Pdhw2u-z4SgVDmNauXNARteH
user@kiste:~$ ls -l crypted/
insgesamt 0
-rw-r--r-- 1 user user 0 2010-07-28 21:33 aaa
-rw-r--r-- 1 user user 0 2010-07-28 21:33 bbb
-rw-r--r-- 1 user user 0 2010-07-28 21:33 cc
-rw-r--r-- 1 user user 0 2010-07-28 21:33 ddddd

Welche Dateien müssen bei Encfs und Ecryptfs gesichert werden

Beim Backup ist darauf zu achten,  dass alle relevanten Verzeichnisse gesichert werden, die für das entschlüsseln benötigt werden. Sonst steht man später mit einem Backup da, mit dem man nichts mehr anfangen kann.

Bei Ecryptfs sollten folgende Verzeichnisse gesichert werden:

• ~/.Private (enthält die verschlüsselten Daten und kann natürlich auch anders benannt sein)
• ~/.ecryptfs (enthält die verschlüsselte Passphrase)

Das .ecryptfs Verzeichnis ist nicht zwingend notwendig. Wenn man sich die Passphrase gemerkt hat, können die Daten auch ohne dieses Verzeichnis wiederhergestellt werden.
Achtung: wird das ~/.ecryptfs Verzeichnis mitgesichert, dann ist die Verschlüsselung der Daten nur so gut wie das Anmeldepasswort (mit dem die Passphrase verschlüsselt wurde). Jemand der euer Anmeldepasswort errät kann eure Daten entschlüsseln. Für Paranoide Leute empfiehlt es sich daher das ~/.ecryptfs Verzeichnis nicht mitzusichern und sich die Passphrase gut (!) zu merken!

Bei Encfs sollte das verschlüsselte Verzeichnis gesichert werden:

• also z.B. ~/.crypted_encfs (enthält sowohl die verschlüsselten Daten, als auch den verschlüsselten Schlüssel, der für das Entschlüsseln benötigt wird)

Achtung: Die Verschlüsselung der Daten ist nur so gut wie das verwendete Passwort! Für Paranoide Anwender besteht die Möglichkeit die Datei ~/.crypted_encfs/encfs6.xml aus der Sicherung auszuschließen und getrennt aufzubewahren. Aber Vorsicht! Ohne diese Datei sind die Daten nicht mehr zu entschlüsseln.

Verschlüsselte Daten sichern oder Backup neu verschlüsseln?

Beim Backup verschlüsseln

Sind die Daten, die zu sichern sind, noch nicht verschlüsselt, dann können diese mit Hilfe von Encfs oder Ecryptfs auf dem Backupmedium (Webdav-Order, CIFS-Share, etc.) beim Durchführen des Backups verschlüsselt werden. Dies bietet sich auch an, wenn z.B. komplett (mit dm-crypt, TrueCrypt,…) verschlüsselte Partitionen gesichert werden sollen.

Beispiel:

Zu sicherndes (unverschlüsseltes) Verzeichnis

• /home/dummy/private_daten

Das Backupmedium ist per webdav (mit fusedav bzw. davfs)  gemountet unter:

• /tmp/backup

Unter /tmp/backup wird nun ein verschlüsseltes Encfs Verzeichnis angelegt:

dummy@kiste:~$ encfs /tmp/backup/.encrypted /tmp/backup/encrypted
Das Verzeichnis "/tmp/backup/.encrypted/" existiert nicht. Soll es angelegt werden? (y,n) y
Das Verzeichnis "/tmp/backup/encrypted" existiert nicht. Soll es angelegt werden? (y,n) y
Neues verschlüsselter Datenträger wird angelegt.
Bitte wählen Sie eine der folgenden Optionen:
 "x" für den Experten-Modus,
 "p" für den vorkonfigurierten Paranoia-Modus,
 etwas anderes oder eine Leerzeile wählt den Standard-Modus.
?> p

Paranoide Konfiguration gewählt.

Konfiguration abgeschlossen. Das angelegte Dateisystem hat die
folgenden Eigenschaften:

[...]

Neues EncFS-Passwort:
EncFS-Passwort bestätigen: 

dummy@kiste:~$ mount | grep encfs
encfs on /tmp/backup/encrypted type fuse.encfs
(rw,nosuid,nodev,default_permissions,user=dummy)

Das Verzeichnis ~/private_daten wird nun in das gemountete Encfs Verzeichnis gesichert:

dummy@kiste:~$ rsync -a --delete --inplace private_daten/ /tmp/backup/encrypted/

Die Daten liegen nun unter /tmp/backup/.encrypted in verschlüsselter Form vor:

dummy@kiste:/tmp/backup$ ls -l /tmp/backup/.encrypted/
insgesamt 12
drwxr-xr-x 2 dummy dummy 4096 2010-07-30 18:22 2xHGT,wzYomV7fDlREiINoJI
drwxr-xr-x 2 dummy dummy 4096 2010-07-30 18:22 JCbv-Pbw6EbZuy281XfNJxnL
-rw-r--r-- 1 dummy dummy    8 2010-07-30 18:27 prihQ3d,GP-gZ8n4vwR,RF-i

Die Sicherung ist nun komplett und die Verzeichnisse können wieder abgehängt werden:

dummy@kiste:~$ fusermount -u /tmp/backup/unencrypted/
dummy@kiste:~$ fusermount -u /tmp/backup

Hinweis: Bis Version 1.6 von encfs (in Ubuntu 10.04 ist erst 1.5.2 enthalten) gibt es einen Bug, der bewirkt, dass beim Verschieben einer Datei die verschobene Datei einen aktuellen Zeitstempel erhält.
Sollen regelmäßige inkrementelle Backups per Rsync durchgeführt werden, dann sollte beim syncen die Option –inplace verwendet werden. Rsync kann sonst beim Syncen von schon existierenden Dateien nicht den Zeitstempel erhalten. Die Folge ist, dass bei jedem Rsync alle Dateien übertragen werden.

Schon verschlüsselte Daten sichern

Sind die Daten auf dem Rechner schon mit Ecryptfs oder Encfs verschlüsselt, dann kann man sich das erneute Verschlüsseln auf dem Backupmedium sparen. Im Prinzip müssen nur noch die verschlüsselten Verzeichnisse auf das Backupmedium kopiert werden

Beispiel A (über Webdav):

Zu sicherndes, mit ecryptfs verschlüsseltes Verzeichnis

• /home/dummy/.Private ist unter /home/dummy/Private gemountet

Das Backupmedium ist per webdav (mit fusedav bzw. davfs)  gemountet unter:

• /tmp/backup

Das verschlüsselte Verzeichnis kann nun einfach per rsync kopiert werden:

dummy@kiste:~$ rsync -a --delete .Private /tmp/backup/

Paranoide Leute sollten jetzt wegschauen (und sich die ecryptfs Passphrase sehr gut merken):

dummy@kiste:~$ rsync -a --delete .ecryptfs /tmp/backup/

Beispiel B (direkt über Rsync)

Zu sicherndes, mit ecryptfs verschlüsseltes Verzeichnis

• /home/dummy/.encrypted ist unter /home/dummy/encrypted gemountet

Gesichert wird auf das per rsync erreichbare HiDrive von Strato:

dummy@kiste:~$ rsync -vxrltDz --delete --progress -e ssh /home/dummy/.encrypted \
stratouser@rsync.hidrive.strato.com:/users/stratouser/backup/

Um später für einen Restore wieder an die Daten zu gelangen, können diese per Webdav gemountet werden. Anschließend kann dann das encfs Verzeichnis vom Backup gemountet werden:

dummy@kiste:~$ fusedav -u stratouser -o ro \
https://stratouser.webdav.hidrive.strato.com /tmp/backup/

Realm 'User Auth' requires authentication.
Password: 

dummy@kiste:~$ encfs /tmp/backup/.encrypted /tmp/encrypted
EncFS-Passwort:

Von /tmp/encrypted können nun die gewünschten Dateien wiederhergestellt werden.

Hinweise

• Auf webdav und cifs Verzeichnisse können u.U.  keine symbolischen links gesichert werden. Ggf. kann man vor der Sicherung ein Tar-File mit allen symbolischen links erzeugen und dieses dann mitsichern:

dummy@kiste:~$ find /home/dummy/ -xdev -type l  > list_of_links.txt
dummy@kiste:~$ tar -cT list_of_links.txt -f link.tar

• Der Rsync Server von Strato HiDrive hat scheinbar Probleme mit sehr langen Dateinamen (wie sie z.B. ecryptfs bei Verwendung der fnek Option erzeugt). Der Rsync bricht nach dem Start sofort mit folgender Fehlermeldung ab – Bei Encfs tritt das Problem nicht auf  (deshalb verwende für die Strato Backups Encfs und nicht Ecryptfs):

dummy@kiste:~$ rsync -vrltDzr --dry-run -e "ssh" .Private \
stratouser@rsync.hidrive.strato.com:/users/stratouser/backup/

stratouser@rsync.hidrive.strato.com's password:
sending incremental file list
rsync: writefd_unbuffered failed to write 4 bytes to socket [sender]: Broken pipe (32)
rsync: connection unexpectedly closed (9 bytes received so far) [sender]
rsync error: error allocating core memory buffers (code 22) at io.c(601) [sender=3.0.7]

• Update: Encfs scheint Probleme in Zusammenhang mit KDE zu verursachen (in .xsession-errors erscheint folgende Fehlermeldung: couldn’t lock local file.). Bei mit hat insbesondere Choqok Probleme sich gelesene Tweets zu merken. Hier gibt es ein Blogpost zu dem Thema. Hier ist der zugehörige KDE-Bug report. Als Workaround habe ich nur kritische Daten unterhalb von .kde ins Verschlüsselte Encfs Verzeichnis verlinkt (z.B. .kde/share/apps/kmail und.kde/share/apps/kwallet) – Ich werde aber wohl wieder auf ecryptfs umstellen (ohne fnek wegen oben genannter rsync Probleme bei Strato).
• Update 2: Eine sehr elegante Möglichkeit der Sicherung ist mit encfs –reverse möglich. Ist dem oben Beschriebenen deutlich überlegen: Hier gibts eine tolle Doku: http://www.thequietroom.de/wiki/index.php?title=Verschl%C3%BCsseltes_Backup_auf_Strato_HiDrive

Tabbed Windows

You like tabs in browsers? Then you will like the new window tabs in KDE, that will allow you to group together different windows. Here is how it looks like:

• First add a window to another existing window

• Afterwards you can switch between the windows with the new window tabs

This is very usable if you are working with lots of windows and want to group together windows that are e.g. used for a single task.

Position windows so that they share the screen equally

If you have a screen with a high resolution, then it is sometimes very useful to have two windows open next to each other. I like to have e.g. documentation open in one window and in another a config file. Of course you can arrange the windows manually, so that the two windows together use the whole screen. But in KDE 4.4 you just have to move one window to the left or the right screen edge and the window will automatically be resized to half of the screen size.

Selecting windows with the task manager preview

If you have enabled desktop effects in KDE 4.X the task manager shows previews of windows by default. In KDE 4.4 it is now possible to click on a preview of a window to switch to the window.

Thanks to the KDE team – You are doing a great job!

It is very usefull to have a current version of the OSM map on the Garmin device, so that you see what is actually missing in the map when you are in the field.

I used to manually download the map file from http://dev.openstreetmap.de/aio/ and then uncompressing it to the garmin device. But I was getting tired of doing this repetitive task and so I wrote a script for this….

The script can be executed via the device notifier in KDE4 (more infos about device notifier can be found in an older blogpost of mine: Adding actions to the Device Notifier widget in KDE 4.3).

After selecting “Update OSM map on Garmin device” in the device notifier the script downloads the map and shows a progressbar.

When it is finished a pop-up appears and the device can be removed via device notifier.

I have attached the script (update_map.sh)  and the device notifier config (update_map.desktop) to this post.

The script needs the package “pv” (pipe viewer). It can be installed in kubuntu with “apt-get install pv“.

update_map.sh (place it in /usr/local/bin)

#!/bin/bash

url=http://dev.openstreetmap.de/aio/germany/gmapsupp.img.bz2
path=$1
target_dir=$path/Garmin
target_file=$target_dir/gmapsupp.img

progressfile=/tmp/progress_$$
echo 0 > $progressfile

function watch_progress {
dbusRef=$1
while [ true ]
do
sleep 1
# check if dbus object exists
qdbus $dbusRef 1>/dev/null 2>&1
if [ "$?" -ne "0" ]
then
# dbus Object does not exist (anymore)
exit 0
fi

# read current progress
progress=`tail -n1 $progressfile`

# set progress to progressbar
qdbus $dbusRef Set “” “value” $progress
done

}

if [ ! -d $target_dir ]
then
kdialog –msgbox “$target_dir does not exist!”
exit 1
fi

kdialog –yesno “Update OSM Map on $target_dir ?”
ret=$?

if [ "$ret" -eq "0" ]
then

# get file size
size=`curl -sI $url | grep Content-Length | cut -d ‘ ‘ -f 2 | sed “s/[^0-9]//g”`
kbsize=$((size/1024))k

dbusRef=`kdialog –progressbar “Downloading OSM Map” 100`
watch_progress “$dbusRef” &

wget -qO- $url | pv -s $kbsize -n 2>$progressfile | bunzip2 > $target_file
sync
sync

qdbus $dbusRef close
rm -f $progressfile

error=0
#check return codes in pipe
for rc in ${PIPESTATUS[*]}
do

if [ "$rc" -ne "0" ]
then
error=1
fi
done

if [ "$error" -ne "0" ]
then
kdialog –msgbox “There was an error updating the map”;
else
kdialog –msgbox “The map was updated successfully – You may now disconnect the device”;
fi

else
kdialog –msgbox “cancelled…”
fi

update_map.desktop (place it in e.g. /usr/share/kde4/apps/solid/actions)

[Desktop Entry]
X-KDE-Solid-Predicate=[[ StorageVolume.ignored == false AND StorageVolume.usage == 'FileSystem' ] OR [ IS StorageAccess AND StorageDrive.driveType == 'Floppy' ]]
Type=Service
Actions=open;

[Desktop Action open]
Name=Update OSM map on Garmin device
Exec=/usr/local/bin/update_map.sh %f
Icon=system-file-manager
X-Ubuntu-Gettext-Domain=desktop_kdebase-workspace

There is an event calendar on the OSM wiki where people publish the dates of OSM mapping parties and other osm meetings.

It is nice that there is a central place where to look for such meetings. The problem with this list is however, that events all around the world are shown there and it is not easy to find events that take place in a specific region.

The only way to limit the events by a region is to use an iCal feed for a specific region. The region must be supplied in coordinates (http://www.openstreetmap.org.uk/events.ics?bbox=-0.589,51.278,0.251,51.745)  and you need a client to display the ics data. Most people won’t use this feature.

In my opinion the best place for this OSM event calendar would be an OSM map. So I decided to put the events as markers on an OSM map. Displaying maps and adding markers is really easy thanks to openlayers.org. All you need is a bit of javascript and a text file containing the markers.

The hard thing is to get the coordinates of the events. For this task I coded the following in perl.
The events in the calendar usually only contain short descriptions of the events and a link to a more detailed page (e.g. Nov 17 München monthly meeting). I first tried to get the coordinates from the city names. Such a feature is provided by  nominatim. You can query the service by http GET requests and the answer can be return in JSON format (e.g. http://nominatim.openstreetmap.org/?q=München+Germany&format=json). This worked quite well with names that are unique, but it is impossible to decide which coordinates are correct if multiple results are returned.
To get the coordinates anyway I did a trick. Each event usually links to a page in the OSM wiki where more details to this event are displayed. Usually these wiki pages contain maps showing the region where the event takes place. In the soucecode of the wiki page you find the coordinate of the region by searching for the strings “lon=” and “lat=”.

This is how the map looks like:

A working version of the map can be found here

I know that the map is not perfect. It is just hacked together in a couple of hours. There probably a lot of bugs in the map (e.g. special characters are not shown correct,…) and not all coordinates are correct. But I think you get a nice overview of where events take place and which of the events are in the near future.

I hope this example shows that it would be nice to have this feature in the OSM wiki or maybe even on the official map (to get more people in touch with the OSM community). This could be implemented very easily if all events would have been provided with coordinates. Maybe a good way to implement this would be via GeoRSS. An example can be found at the openlayers website.

The KDE device notifier is a widget that can be used to managed plugged-in devices like e.g. usb pen-drives. In a default Kubuntu installation this is shown as an icon in the taskbar. When clicking on it it shows e.g. all partitions of plugged in devices.

When you click on a partition it offers a couple of actions that can be started for that particular partition (e.g. downloading pictures to digikam or open the drive in dolphin).

Why I needed an additional action

A task I have to do every day is to move downloaded podcast on a usb pen-drive, so I listen to the podcasts on my car radio. In the beginning I moved the files manually to the drive and then I wrote a script that did this job for me.
The Script created a directory in the format ddmmyyyy (e.g. /media/disk/05112009) on the pen-drive and moved the files in there. Afterwards it did a sync to ensure that all data had been flushed to the drive.

As I always used the device notifier to mount the drive, I wanted to have my script as an action in there.

Where do I find the actions in the filesystem?

The actions of the device notifier are placed in the directory /usr/share/kde4/apps/solid/actions. There is one file for each action.
Custom actions for a specific user can be placed in ~/.kde/share/apps/solid/.

There are a couple of paramterers that describe the action e.g.:

• X-KDE-Solid-Predicate determines for which devices the action should be available
• Name is the label of the action shown in the device notifier
• Exec is the command that will be executed.

There are some variables that can be passed to the exec-command (there might be more):

• %f gives StorageAccess.filePath
• %d gives Block.device
• %i gives UDI

Adding an action to device notifier

To execute my mp3 moving script I created the file /usr/share/kde4/apps/solid/actions/movemp3.desktop:

[Desktop Entry]
X-KDE-Solid-Predicate=[[ StorageVolume.ignored == false AND StorageVolume.usage == 'FileSystem' ] OR [ IS StorageAccess AND StorageDrive.driveType == 'Floppy' ]]
Type=Service
Actions=open;

[Desktop Action open]
Name=Move MP3 files
Exec=/usr/local/bin/copy_mp3_files.sh %f
Icon=system-file-manager
X-Ubuntu-Gettext-Domain=desktop_kdebase-workspace

After restarting KDE the device notifier now contains a new entry:

Formerly I started the script from the terminal, but now I start it from the gui. Therefor I added some gui interaction to the script to make it more comfortable:

Just in case anyone is interested in the simple script:

path=$1
mp3path=/home/$USER/pod
datum=`date +”%d%m%y”`
newpath=$path/$datum

kdialog –yesno “Move MP3-files to drive ($newpath)?”
ret=$?

if [ "$ret" -eq "0" ]
then

kdialog –yesno “Delete old files? ( `ls $path/[0-9][0-9][0-9][0-9][0-9][0-9]` )”
if [ "$?" -eq "0" ]
then
rm -r $path/[0-9][0-9][0-9][0-9][0-9][0-9]
fi
mkdir -p $newpath
mv $mp3path/*mp3 $newpath/
sync
sync
sync
kdialog –msgbox “Files were moved, you may now disconnect the drive by device notifier!”

else
kdialog –msgbox “cancelled…”
fi

Beim herauszoomen aus der Karte werden nebeneinander liegende Bilder zu einem einzelnen zusammengefasst. Auf diesem wird wiederum die Anzahl der zusammengefassten Bilder angezeigt.  Somit wirkt die Karte auch dann nicht überladen, wenn sehr viele Fotos in einem kleinen Gebiet geschossen wurden.

Besonders praktisch finde ich, dass man das Feature mit der digikam Suche kombinieren kann. So kann man sich ganz einfach anzeigen lassen, wo man an einem bestimmten Tag gewandert ist (siehe Screenshot) oder sich z.B. alle mit “Strand” getaggten Fotos auf der Karte anzeigen lassen.

Ein Feature vermisse ich leider noch in der Kartenansicht: Praktisch fände ich es, wenn beim Klick auf ein Foto in der Karte das Foto vergrößert dargestellt würde. Leider passiert beim Klicken auf ein Bild im Moment gar nichts.
Ich werde gleich mal auf kde.org einen Feature Request eintragen (http://bugs.kde.org/show_bug.cgi?id=212967).