Das Unternehmen Kudelski Security, spezialisiert auf Sicherheitspr\u00fcfungen, hat Shufflecake ver\u00f6ffentlicht, ein Tool, das es erm\u00f6glicht, versteckte Dateisysteme zu erstellen, die \u00fcber den vorhandenen freien Speicherplatz in bestehenden Partitionen verteilt werden und von zuf\u00e4lligen Restdaten nicht zu unterscheiden sind. Die Partitionen werden so gestaltet, dass ihr Bestehen ohne den Zugangsschl\u00fcssel selbst bei einer forensischen Analyse schwer zu beweisen ist. Der Code der Utilities (shufflecake-userland) und des Linux-Kernel-Moduls (dm-sflc) ist in C geschrieben und wird unter der GPLv3-Lizenz verbreitet, was die Integration des ver\u00f6ffentlichten Kernel-Moduls in den Hauptkernel von Linux aufgrund der Inkompatibilit\u00e4t mit der GPLv2-Lizenz, unter der der Kernel ausgeliefert wird, unm\u00f6glich macht. <\/p>\n
Das Projekt positioniert sich als eine \u00fcberlegene L\u00f6sung im Vergleich zu Truecrypt und Veracrypt, um sch\u00fctzenswerte Daten zu verbergen. Es bietet nativ Unterst\u00fctzung f\u00fcr die Linux-Plattform und erm\u00f6glicht das Einrichten von bis zu 15 ineinander verschachtelten versteckten Partitionen auf einem Ger\u00e4t, was die Entdeckung ihrer Existenz erschwert. Wenn die Anwendung von Shufflecake selbst keine Geheimnisse birgt, wie anhand der vorhandenen Systemtools ersichtlich ist, bleibt die Gesamtanzahl der erstellten versteckten Partitionen unbestimmt. Die erstellten versteckten Partitionen k\u00f6nnen nach Belieben des Benutzers f\u00fcr jede Dateisystemart formatiert werden, beispielsweise ext4, xfs oder btrfs. Jede Partition wird als separates virtuelles Blockger\u00e4t mit einem eigenen Entsperr-Schl\u00fcssel behandelt. <\/p>\n
F\u00fcr die Verschleierung von Spuren wird das Verhaltensmodell der \"plausiblen Abstreitung\" vorgeschlagen. Die Grundidee besteht darin, wertvolle Daten als zus\u00e4tzliche Schichten in verschl\u00fcsselten Bereichen mit weniger wertvollen Daten zu verbergen, wodurch eine Art versteckte Hierarchie von Abschnitten entsteht. Im Falle von Druck kann der Besitzer des Ger\u00e4ts den Schl\u00fcssel zum verschl\u00fcsselten Bereich offenlegen, jedoch k\u00f6nnen in diesem Bereich andere Abschnitte verborgen sein (bis zu 15 verschachtelte Ebenen), was es schwierig macht, deren Vorhandensein zu best\u00e4tigen und zu beweisen. <\/p>\n
Die Verschleierung erfolgt durch die Bildung jedes Bereichs als eine Ansammlung von verschl\u00fcsselten St\u00fcckchen, die an zuf\u00e4lligen Positionen auf dem Speichermedium platziert werden. Jedes St\u00fcck wird dynamisch erstellt, sobald im Bereich zus\u00e4tzlicher Speicherplatz ben\u00f6tigt wird. Um die Analyse zu erschweren, werden St\u00fccke unterschiedlicher Bereiche abgewechselt, d.h. die Shufflecake-Bereiche sind nicht mit kontinuierlichen Fl\u00e4chen verkn\u00fcpft und die St\u00fccke aller Bereiche werden vermischt. Informationen \u00fcber die verwendeten und freien St\u00fccke werden in einer an jeden Bereich gebundenen Positionskarte gespeichert, auf die der verschl\u00fcsselte Header verweist. Karten und Header sind verschl\u00fcsselt und ohne Kenntnis des Zugriffsschl\u00fcssels nicht von zuf\u00e4lligen Daten zu unterscheiden. <\/p>\n
Der Header ist in Slots unterteilt, von denen jeder seinen eigenen Abschnitt und die zugeh\u00f6rigen Slices definiert. Die Slots im Header sind in gestapelter Reihenfolge angeordnet und rekursiv miteinander verbunden \u2013 der aktuelle Slot enth\u00e4lt den Schl\u00fcssel zur Entschl\u00fcsselung der Parameter des vorherigen Abschnitts in der Hierarchie (weniger versteckt), was erm\u00f6glicht, ein Passwort f\u00fcr die Entschl\u00fcsselung aller weniger versteckten Abschnitte zu verwenden, die mit dem gew\u00e4hlten Abschnitt verbunden sind. Jeder weniger versteckte Abschnitt behandelt die Slices der eingebetteten Abschnitte als frei. <\/p>\n
Standardm\u00e4\u00dfig haben alle untergeordneten Shufflecake-Partitionen die gleiche sichtbare Gr\u00f6\u00dfe wie die oberste Partition. Wenn beispielsweise auf einem Ger\u00e4t mit 1 GB drei Partitionen eingerichtet sind, wird jede dieser Partitionen vom System als 1 GB gro\u00dfe Partition erkannt, und der verf\u00fcgbare Speicherplatz wird \u00fcber alle Partitionen gemeinsam genutzt \u2014 sobald die Summe der gespeicherten Daten die tats\u00e4chliche Gr\u00f6\u00dfe des Ger\u00e4ts \u00fcberschreitet, tritt ein E\/A-Fehler auf. <\/p>\n
Nicht ge\u00f6ffnete untergeordnete Partitionen sind nicht an der Verteilung des Speicherplatzes beteiligt. Das hei\u00dft, der Versuch, eine \u00fcbergeordnete Partition zu f\u00fcllen, f\u00fchrt zur \u00dcberschreibung von Daten in den untergeordneten Partitionen, jedoch wird es nicht m\u00f6glich sein, deren Existenz durch Analyse der Gr\u00f6\u00dfe der Daten, die in der Partition vor dem Auftreten eines Fehlers untergebracht werden k\u00f6nnen, aufzudecken (es wird davon ausgegangen, dass die \u00fcbergeordneten Partitionen unver\u00e4nderliche Daten enthalten, um abzulenken, und niemals einzeln verwendet werden; die regul\u00e4re Arbeit erfolgt immer mit der letzten untergeordneten Partition. Das Schema impliziert, dass es wichtiger ist, das Geheimnis des Bestehens von Daten zu wahren, als diese Daten zu verlieren). <\/p>\n
In der Regel werden 15 Shufflecake-Partitionen erstellt \u2014 die verwendeten Partitionen sind mit dem Benutzerpasswort verkn\u00fcpft, w\u00e4hrend die ungenutzten Partitionen mit einem zuf\u00e4llig generierten Passwort versehen werden (es ist nicht m\u00f6glich zu erkennen, wie viele Partitionen tats\u00e4chlich verwendet werden). Bei der Initialisierung der Shufflecake-Partitionen wird der daf\u00fcr zugewiesene Speicher, die Partition oder das virtuelle Blockger\u00e4t mit Zufallsdaten gef\u00fcllt, sodass die Metadaten und Daten von Shufflecake nicht im Gesamten erkannt werden k\u00f6nnen. <\/p>\n
Die Implementierung von Shufflecake bietet eine recht hohe Leistung, f\u00e4llt jedoch aufgrund des Overheads in etwa halb so stark bei der Bandbreite hinter der Festplattenverschl\u00fcsselung mit der LUKS-Subsystem ab. Der Einsatz von Shufflecake f\u00fchrt zudem zu zus\u00e4tzlichen Kosten f\u00fcr Arbeitsspeicher und die Lagerung von Metadaten auf der Disk. Der Speicherbedarf wird auf 60 MB pro Partition gesch\u00e4tzt, w\u00e4hrend der Platz auf der Festplatte bei 1 % der Gesamtgr\u00f6\u00dfe liegt. Zum Vergleich: Eine \u00e4hnliche Technik namens WORAM f\u00fchrt zu Verlangsamungen von 5 bis 200 Mal mit einem 75%-igen Verlust des verf\u00fcgbaren Festplattenspeichers. <\/p>\n