Rcloneでクラウド上のファイルを暗号化する方法【Crypt機能の使い方】

Rcloneは非常に優れたツールです。シンプルなスクリプトでありながら、複数のクラウドストレージプロバイダーに保存したファイルをシームレスに管理できます。直感的なコマンドラインインターフェースと強力な機能群を備えており、あるクラウドリモートから別のリモートへのデータ移行、複数のクラウドリモートの統合、さらにはデータの透過的な暗号化・復号化まで実現できます。本記事では、中でも重要な「暗号化」について詳しく解説します。

Cryptはrcloneの機能の一つで、ファイルのアップロード時に自動的に暗号化し、ダウンロード時に復号化します。つまり、クラウドに実際に保存されるファイルは暗号化され、第三者には判読できない状態になります。これにより、プロバイダーがアップロード内容を覗き見していないかを信頼する必要なく、クラウドストレージを安全に活用できます。

さらに、Cryptの設定はシンプルで透過的です。暗号技術の専門知識がない方でも、誰でも簡単に独自の暗号化リモートを作成できます。

Cryptの仕組み

Cryptリモートは、別の既存リモートを土台として、その上に自身を重ねる形で動作します。つまりCryptは、通過するデータをフィルタリングして変換する「レイヤー」のような役割を果たします。データがクラウドリモートに到達する前に、すでにcrypt機能によって処理され、暗号化されているのです。

このレイヤー方式により、複数のリモートを扱う際に最大限の柔軟性が得られます。

例えば、rcloneのunion機能を使って複数のリモートを1つにまとめ、それをcryptリモートとしてラップすることが可能です。こうすることで、そのリモート経由でアップロードされたすべてのデータが自動的に暗号化され、複数のクラウドリモートへ分散保存されます。

Rclone Cryptの設定手順

これらの機能に魅力を感じたら、cryptリモートの設定は比較的簡単に行えます。ただし、本ガイドでは、すでに暗号化されていない通常のrcloneリモートを作成済みであることを前提としています。まだの場合は、まず入門ガイドをご確認ください。

rcloneリモートの準備ができたら、まず以下のコマンドを入力します。

rclone config

rcloneの設定メニューが表示されます。Nキーを押して、新しいリモートを作成しましょう。

続いて、作成するリモートの名前を尋ねられます。ここでは例として「crypt」という名前を付けます。

次の項目では、リモートの種類を選択します。「crypt」と入力して、cryptタイプのリモートを作成してください。

その後、cryptでラップする対象リモートの場所を指定します。必ずリモート全体ではなく、リモート内の特定のディレクトリを指すようにしてください。

筆者の場合、gdriveリモート内にあらかじめ「maketecheasier」というフォルダを作成しており、設定ではgdrive:/maketecheasierと入力しました。

リモート全体をcryptとして設定することも技術的には可能ですが、その場合、暗号化・復号化の処理で問題が発生することがあります。

クラウドストレージプロバイダーによっては、暗号化されたルートフォルダを正しく扱えない場合があります。また、rclone cryptの外からアップロードされたファイルは暗号化されず、crypt機能のファイル処理と不整合が生じる可能性もあります。

暗号化の設定

次のステップでは、リモートで使用するファイル名の暗号化方式を選択します。

• Standard(標準):ファイル名を完全に暗号化します。アップロードしたファイルの拡張子(ファイル形式)まで隠せます。
• Obfuscate(難読化):ファイル名を単純に「回転」させるだけの方式です。手軽ですが、暗号強度は弱めです。
• Off(オフ):ファイル名を一切難読化しません。

続いて、ディレクトリ名を暗号化するかどうかを尋ねられます。「1」を選ぶとリモート内のすべてのフォルダ名が暗号化され、「2」を選ぶと暗号化されません。

以降のステップでは、パスワードを自分で設定するか、rcloneに自動生成させるかを選択します。

筆者の場合は、自分でパスワードを入力しました。

さらに、暗号鍵をよりランダム化するための第2のパスワード(シークレットソルト)を追加するかどうかを尋ねられます。

筆者の場合は、第2のパスワードも追加しました。

重要なのは、これら2つのパスワードこそがあなたのデータへの「鍵」だという点です。必ず安全な場所に控えを保管してください。この2つのパスワードを知る者がいれば、あなたのrclone設定を再現し、cryptリモート上のデータを復号化できてしまうからです。

追加設定

次に、詳細設定メニューに入るかどうかを尋ねられます。基本的には、これらの設定を変更する必要はありません。

ただし、複数のcryptリモート同士を連携させたい場合や、何らかの理由でデータ本体は暗号化したくない場合は、ここで設定を変更できます。

最後に、cryptリモートの設定内容の確認を求められます。現在の設定で問題なければ、Yキーを押してEnterキーで確定してください。

これで、rcloneにcryptリモートが表示されるようになります。筆者の場合は、タイプが「Crypt」の「crypt」という名前で登録されました。

新しいCryptリモートのテスト

設定が完了したら、新しいcryptリモートを使ってファイルを転送してみましょう。以下のコマンドを実行します。

rclone -v copy /your/local/file/here/ remotename:/the/remote/location/

筆者は小さなファイルをローカルマシンからcryptリモートへコピーしました。リモートの内容を一覧表示して、ファイルが正しくコピーされたかを確認します。

rclone lsf remotename:/

rclone以外の手段でリモートを覗くと、ファイルは文字化けしたような名前で表示されます。例えば、Google Driveのウェブサイトで新しくコピーしたファイルを確認したところ、ファイル名は「nf1kktmpf95lg527ddci7s3m90」と表示されました。

おめでとうございます!これであなた専用の暗号化クラウドバックアップが完成しました。このまま単体で使ってもよいですし、レイヤー構造のアイデアから創造的なストレージ運用を思いついた方は、rcloneと組み合わせられる格安クラウドストレージプロバイダーについてもぜひ調べてみてください。

よくある質問

1. Rclone Cryptの暗号化は安全なのか?

はい。RcloneはXSalsa20暗号を使用して、ファイルの内容とファイル名を暗号化します。これは比較的強力でありながら、システムリソースへの負荷が軽い暗号方式です。さらに、暗号化されたファイルの内容はPoly1305によって常に整合性検証されており、Poly1305は非常に強力な認証アルゴリズムです。

2. パソコンを紛失した場合、ファイルにはどうアクセスすればよいのか?

この方法の利点は、2つのパスワードさえ控えておけば、どこからでもデータにアクセスできることです。必要なのは、インターネットに接続できるマシンとrcloneだけです。

3. 一度設定したパスワードを後から変更することは可能か?

いいえ、できません。暗号化は設定時のパスワードに大きく依存しています。パスワードを変更するとcryptの暗号鍵自体が変わってしまうため、以前暗号化したファイルにはアクセスできなくなります。

新しいパスワードを使いたい場合は、新しいパスワードで新しいcryptを作成し、古いcryptからファイルを復号化して新しいcryptへ移動させます。最後に、古いcryptを削除してください。