Coffre cryptomator archlinux

Notes › PC1

Cryptomator est un logiciel libre à code source ouvert de chiffrement à la volée multi-plateformes développé par la société allemande Skymatic GmbH depuis 2016, et publié selon les termes de la licence publique générale GNU (Source wikipédia FR)

Archlinux desktop

Créer le dossier local

Dans l’interface web Nextcloud ou depuis le dossier synchronisé localement, créez le dossier .coffre-cryptomator , adaptez le nom à votre convenance.

Évitez de partager ce dossier : cela réduit les risques de conflit, de suppression accidentelle ou de mauvaise gestion des accès. Un coffre Cryptomator est adapté à un usage personnel ; il n’est pas un bon espace collaboratif.

Cryptomator

Installer l’application cryptomator

yay -S cryptomator-bin

Dans Cryptomator Desktop :

cliquez sur Ajouter un coffre ;
choisissez Créer un nouveau coffre ;
placez-le dans le dossier synchronisé, par exemple :

$HOME/.coffre-cryptomator/Prive.cryptomator

définissez une phrase de passe longue, unique et différente de votre mot de passe Nextcloud ;
choisissez le mécanisme de montage recommandé par Cryptomator pour votre système ;
déverrouillez le coffre : il apparaîtra comme un disque ou un dossier virtuel.

Le disque virtuel contient la version déchiffrée. C’est uniquement là que vous devez créer, lire et modifier vos documents. Cryptomator chiffre les opérations à la volée avant que Nextcloud les synchronise.

Ouvir le coffre avce l’application Cryptomator, en cliquant sur Déverrouiller

Créer un emplacement pour le coffre déverrouillé /home/yann/.local/share/Cryptomator/mnt/yann-crypto/

Cryptomator cli

linux desktop kde archlinux, déverrouiller coffre cryptomator à l'ouverture session utilisateur et le verrouiller à la fermeture session

Le plus propre est d’utiliser cryptomator-cli dans un service systemd utilisateur : il déverrouille le coffre au démarrage du service et le verrouille proprement quand le service s’arrête (fermeture de session).

Prérequis fuse3 pour le montage FUSE, libsecret pour secret-tool

yay -S fuse3 libsecret

Sur la page https://github.com/cryptomator/cli/releases, déplie « Assets » de la 0.6.2 et prends l’archive Linux x64 (probablement cryptomator-cli-0.6.2-linux-x64.zip). Si tu n’es pas sûr du nom exact, clique dessus dans la liste plutôt que de deviner l’URL :

        
      
mkdir -p ~/.local/opt && cd ~/.local/opt
curl -L https://github.com/cryptomator/cli/releases/download/0.6.2/cryptomator-cli-0.6.2-linux-x64.zip -o cryptomator-cli.zip
unzip cryptomator-cli.zip && rm cryptomator-cli.zip
# Créer un lien avec .local/bin qui est dans le path
ln -s ~/.local/opt/cryptomator-cli/bin/cryptomator-cli ~/.local/bin/cryptomator-cli

Si le dossier décompressé a un autre nom ou si le binaire est ailleurs, adapte le chemin dans le script cryptomator-unlock.sh. Les sous-commandes unlock et list-mounters et les options --mounter, --mountPoint et --password:stdin que j’ai utilisées devraient exister en 0.6.x, mais --help te confirmera la syntaxe exacte pour ta version, notamment cryptomator-cli unlock --help.

cryptomator-cli --help
cryptomator-cli list-mounters

Le reste (script, service systemd, KWallet) ne change pas.

Stocker le mot de passe dans KWallet (qui implémente le Secret Service) :

        
      
secret-tool store --label="Cryptomator Coffre yann" application cryptomator vault monCoffre

C’est correct. Le libellé (--label) n’est qu’un nom d’affichage dans KWallet, tu peux mettre ce que tu veux. Ce qui compte, ce sont les attributs application cryptomator vault monCoffre : le script les utilise pour retrouver le secret, ils doivent donc être identiques dans le secret-tool lookup. monCoffre n’a pas besoin de correspondre au nom réel de ton coffre, c’est un simple identifiant. Tu peux le remplacer par un nom plus parlant, à condition de le changer aux deux endroits.

La commande te demande ensuite Password: : saisis le mot de passe de ton coffre Cryptomator (rien ne s’affiche pendant la frappe).

Pour vérifier sans afficher le mot de passe à l’écran, compte ses caractères :

secret-tool lookup application cryptomator vault monCoffre | wc -c

Le nombre doit être la longueur de ton mot de passe, sans compter la fin de ligne. Si tu as un doute sur une faute de frappe, le plus fiable est de tester directement le déverrouillage en lançant le service, comme indiqué plus haut. Une erreur de mot de passe apparaîtra dans journalctl --user -u cryptomator-vault -b.

Pour que le portefeuille s’ouvre automatiquement à la connexion, kwallet-pam doit être actif (c’est le cas par défaut avec SDDM si le mot de passe du portefeuille est le même que celui de la session). Voir le paragraphe Kwallet en fin du document

Les dossiers

Le dossier du coffre: $HOME/.coffre-cryptomator
Le point de montage: $HOME/.local/share/Cryptomator/mnt/yann-crypto

Script ~/.local/bin/cryptomator-unlock.sh (puis chmod +x) :

        
      
#!/bin/bash
set -e
VAULT="$HOME/.coffre-cryptomator/yann-crypto"                         # dossier du coffre
MNT="$HOME/.local/share/Cryptomator/mnt/yann-crypto"                  # point de montage
mkdir -p "$MNT"
pw=$(secret-tool lookup application cryptomator vault monCoffre)
exec $HOME/.local/bin/cryptomator-cli unlock \
  --password:stdin \
  --mounter=org.cryptomator.frontend.fuse.mount.LinuxFuseMountProvider \
  --mountPoint="$MNT" \
  "$VAULT" <<<"$pw"

Service ~/.config/systemd/user/cryptomator-vault.service :

Avec linger yes

on ne s’appuie plus sur l’arrêt automatique des services par systemd, mais sur la cible graphical-session.target, qui est démarrée et arrêtée avec ta session graphique, même quand le linger est actif. Il suffit d’ajouter PartOf= au service pour qu’il s’arrête avec elle (et laisse tes autres services utilisateur tranquilles).

~/.config/systemd/user/cryptomator-vault.service :

        
      
[Unit]
Description=Coffre Cryptomator
After=graphical-session.target
PartOf=graphical-session.target

[Service]
ExecStart=%h/.local/bin/cryptomator-unlock.sh
ExecStopPost=-/usr/bin/fusermount3 -uz %h/.local/share/Cryptomator/mnt/yann-crypto
TimeoutStopSec=20

[Install]
WantedBy=graphical-session.target

Puis :

        
systemctl --user daemon-reload
systemctl --user enable cryptomator-vault.service

Pour vérifier que la cible est bien pilotée par Plasma (c’est le cas quand Plasma démarre via systemd, par défaut sur les versions récentes) :

systemctl --user is-active graphical-session.target

Doit répondre active dans ta session.

Pour tester le verrouillage, ferme ta session graphique puis, depuis une console (Ctrl+Alt+F3) ou en SSH :

systemctl --user is-active cryptomator-vault
mount | grep Coffre

Le service doit être inactive et rien ne doit rester monté.

NON UTILISE
Si le coffre reste déverrouillé après la déconnexion (cible non arrêtée par Plasma), le plan B est un script de fermeture de session KDE :

        
      
mkdir -p ~/.config/plasma-workspace/shutdown
cat > ~/.config/plasma-workspace/shutdown/lock-cryptomator.sh <<'EOF'
#!/bin/sh
systemctl --user stop cryptomator-vault.service
EOF
chmod +x ~/.config/plasma-workspace/shutdown/lock-cryptomator.sh

Il s’exécute à la fermeture de session, sans toucher aux autres services utilisateur. Il est un peu moins robuste que PartOf= : un plantage de session ou une coupure brutale ne le déclenche pas.

Kwallet

comment vérifier simplement si kwallet actif et paramétré

Voici les vérifications, de la plus simple à la plus complète (Plasma 6 : le démon s’appelle kwalletd6).

1. Le sous-système est-il actif ?

qdbus6 org.kde.kwalletd6 /modules/kwalletd6 org.kde.KWallet.isEnabled

Doit répondre true. Sinon, active-le dans Paramètres système → Portefeuille KDE (« Activer le sous-système Portefeuille KDE »).

2. Le portefeuille existe-t-il et est-il ouvert ?

qdbus6 org.kde.kwalletd6 /modules/kwalletd6 org.kde.KWallet.wallets
qdbus6 org.kde.kwalletd6 /modules/kwalletd6 org.kde.KWallet.isOpen kdewallet

La première commande doit lister kdewallet, la seconde renvoyer true juste après la connexion si l’ouverture automatique fonctionne.

3. Le Secret Service est-il fourni par KWallet ? (c’est ce que secret-tool utilise)

        
      
busctl --user status org.freedesktop.secrets | grep -E 'Comm|PID'

Renvoie

PID=1014  
PIDFD=yes  
PPID=1  
Comm=ksecretd  
CommandLine=/usr/bin/ksecretd --pam-login 12 13

C’est bon signe : le Secret Service est bien fourni par KDE, et pas par un autre gestionnaire comme gnome-keyring ou KeePassXC. ksecretd est le nouveau démon qui remplace kwalletd6 dans les Plasma récents. Mes commandes qdbus6 org.kde.kwalletd6 du point 1 et 2 peuvent donc ne pas répondre chez toi, ce qui ne signifie pas que ça ne marche pas.

L’option --pam-login 12 13 montre qu’il a été lancé par kwallet-pam à l’ouverture de session, avec les descripteurs transmettant le mot de passe. L’ouverture automatique à la connexion est donc configurée côté PAM.

Il reste à vérifier que le stockage fonctionne réellement, avec le test de bout en bout

Ce « Password: » est simplement secret-tool store qui te demande la valeur à enregistrer (le secret lui-même), pas un déverrouillage du portefeuille.

lance la première commande, tape une valeur bidon (par exemple abc), puis Entrée :

        
      
secret-tool store --label=test application test x y

Ensuite, lance les deux autres, séparément :

secret-tool lookup application test x y
secret-tool clear application test x y

Le lookup doit afficher abc. Le point important : si aucune fenêtre KDE de déverrouillage n’apparaît pendant le store et le lookup, c’est que le portefeuille était déjà ouvert à la connexion, et tout est prêt pour enregistrer le vrai mot de passe du coffre.