Default encryption module

Server-side encryption stores your files as ciphertext on disk. Anyone who canread the storage - a hosting provider, a stolen disk, a backup tape, an S3bucket - sees AES-256 ciphertext instead of your documents. It does not protectagainst an attacker who controls the running server, because the key livesthere.**How it works**Files are encrypted transparently on write and decrypted on read. Sharing,versions, trash bin and the desktop and mobile clients keep working; usersnotice nothing. Two modes are available: a single master key for the wholeinstance (recommended, no user interaction) or per-user keys derived from thelogin password.**Before you switch it on**Switching encryption on is a one-way decision in practice. `occencryption:decrypt-all` reports success but does not touch file versions or thetrash bin, and `occ encryption:disable` refuses while any encrypted fileremains. Going back therefore means discarding every file version and emptyingevery trash bin first. Decide before you enable it, not after.Existing files are not encrypted automatically - run `occencryption:encrypt-all` for that. Keep a backup of the key storage(`data/files_encryption`): without it, encrypted files are lost for good.---**Deutsch**Serverseitige Verschluesselung legt Dateien als Chiffrat auf der Platte ab. Werden Speicher lesen kann - ein Hoster, eine entwendete Platte, ein Sicherungsband,ein S3-Eimer - sieht AES-256-Chiffrat statt Ihrer Dokumente. Gegen einenAngreifer, der den laufenden Server beherrscht, hilft sie nicht, denn dort liegtder Schluessel.**Wie es arbeitet**Dateien werden beim Schreiben verschluesselt und beim Lesen entschluesselt.Freigaben, Versionen, Papierkorb sowie die Programme fuer Arbeitsplatz undTelefon laufen unveraendert weiter; Nutzer merken nichts davon. Zwei Betriebsarten:ein Hauptschluessel fuer die ganze Instanz (empfohlen, ohne Zutun der Nutzer)oder Schluessel je Konto, abgeleitet aus dem Anmeldepasswort.**Vor dem Einschalten lesen**Das Einschalten ist praktisch endgueltig. `occ encryption:decrypt-all` meldetErfolg, laesst Dateiversionen und Papierkorb aber verschluesselt liegen, und`occ encryption:disable` verweigert, solange noch eine verschluesselte Datei daist. Der Rueckweg bedeutet deshalb: alle Dateiversionen loeschen und allePapierkoerbe leeren. Entscheiden Sie das vorher, nicht hinterher.Bestandsdateien werden nicht von allein verschluesselt - dafuer gibt es `occencryption:encrypt-all`. Sichern Sie die Schluesselablage(`data/files_encryption`): ohne sie sind verschluesselte Dateien endgueltigverloren.PHP 8.4 fork maintained by BW-Tech GmbH for owncloud.online.