Как зашифровать жесткий диск в Linux?

Question

Моя работа требует, чтобы жесткий диск моего ноутбука под управлением Linux был зашифрован. Когда я вставляю флешку с Live Cd, то у меня появляется возможность просматривать файлы, и даже их копировать. Я подумал о том, чтобы защитить HDD. Каким способом это лучше сделать?

Answer 1

Еще один достойный вариант шифрования

VeraCrypt 1.23.2

VeraCrypt - это бесплатная программа для шифрования диска, основанная на TrueCrypt. Он добавляет повышенную безопасность к алгоритмам, используемым для шифрования системы и разделов, что делает его невосприимчивым к новым разработкам в атаках методом перебора.

VeraCrypt является преемником программы TrueCrypt, который предназначен для шифрования дисков и обеспечивает очень надежную защиту. Программа полностью бесплатна, исходный код открыт, автор программы регулярно выпускает обновления, которые не только исправляют ошибки, но и приносят новые функции и улучшения.

Как установить VeraCrypt в Linux

VeraCrypt отсутствует в стандартных репозиториях некоторых популярных дистрибутивов Linux. Поэтому без достаточной информации у некоторых пользователей могут возникнуть трудности. Рассмотрим процесс установки VeraCrypt в такие системы как Kali Linux, Linux Mint, Ubuntu, а также Arch Linux и BlackArch.

Аналогично этот метод можно использовать для других дистрибутивов Linux. Существуют также версии VeraCrypt для FreeBSD и Raspbian (Raspberry Pi ARMv7).

 Пример установки на Linux Mint

Установка VeraCrypt довольно проста и понятна. На сайте https://www.veracrypt.fr/en/Home.html загрузите ее и извлеките данные из архива, который вы скачали. Щелкните дважды по файлу и нажмите Запустить в терминале. Выйдет окно установщика,  выберите Установить и далее остается лишь следовать инструкциям.

После установки программа будет добавлена ​​в меню. Возможно, вам придется перезагрузить систему. Имейте в виду, что установка VeraCrypt не может быть запущена во время сеанса.

Перед использованием VeraCrypt рекомендуется  настроить программу для обеспечения безопасной рабочей среды.

Установка при помощи консоли для  Arch Linux / BlackArch

И Arch Linux, и BlackArch имеют VeraCrypt в своих репозиториях, поэтому установка чрезвычайно проста:

sudo pacman -S veracrypt

Эта команда установит VeraCrypt с графическим интерфейсом. Чтобы открыть программу:

sudo veracrypt

Создадим зашифрованный файловый контейнер

Порядок действий таков

• Нажмите на вкладке Создать том
• Затем переходим на Создать зашифрованный файловый контейнер
• Выбираем из предложенных вариантов Скрытый или обычный том

(На скрытом томе 2 пароля, это двойная защита на тот случай, если Вас , к примеру, вынудили сказать пароль, тогда данные на внутреннем томе все равно будут недоступны и никак невозможно определить тот факт, что имеется еще у Вас и скрытый том)

• Далее указываете путь для хранения файла контейнера.
• На следующем этапе нужно будет определиться с алгоритмом шифрования( в большинстве случаев  AES)
• После выберите размер(например 200 мб)
• Далее выбирайте пароль(будут даны подсказки и варианты выбора такие как PIM, Персональный умножитель итераций,.
• Следующим этапом этого остается задать файловую систему
• Теперь смонтируйте свой том

Все готово, том создан, он зашифрован и будет шифроваться "на лету".

С помощью  VeraCrypt можно зашифровать и системный диск. Все таким же образом.

Answer 2

При установке операционной системы Вы можете использовать Luks.

Luks - это уровень шифрования на блочном устройстве. Используется модуль ядра dm-crypt, что создает в каталоге /dev/mapper виртуальное блочное устройств, имеющее прозрачное для файловой системы и пользователя шифрование.

Обычно он используется либо на разделе диска, либо на физическом томе LVM, что позволяет использовать несколько разделов в одном зашифрованном контейнере.

LUKS хранит кучу метаданных в начале устройства. Он имеет слоты для нескольких парольных фраз. Каждый слот имеет 256-битную соль, которая отображается в открытом виде вместе с зашифрованным сообщением. При вводе ключевой фразы LUKS по очереди объединяет ее с каждой из солей, хэширует результат и пытается использовать результат в качестве ключей для дешифрования зашифрованного сообщения в каждом слоте. Это сообщение состоит из некоторого известного текста и копии главного ключа. Если он работает для любого из слотов, поскольку известный текст совпадает, мастер-ключ теперь известен, и вы можете расшифровать весь контейнер. Главный ключ должен оставаться не зашифрованным в оперативной памяти, пока контейнер используется.

Знание мастер-ключа позволяет получить доступ ко всем данным в контейнере, но не раскрывает пароли в слотах для паролей, поэтому один пользователь не может видеть пароли других пользователей.

Система не предназначена для того, чтобы пользователи могли видеть главный ключ во время работы, и этот ключ нельзя изменить без повторного шифрования. Однако использование слотов для паролей означает, что пароли могут быть изменены без повторного шифрования всего контейнера, а также позволяет использовать несколько паролей.

Если же у Вас имеется система, файлы которой требуется зашифровать, то в этом случае нет надобности заново переустанавливать систему как с вариантом Luks. В этом случае подойдет 

 EncryptedHome

Есть два способа зашифровать файлы и каталоги в вашем домашнем каталоге. Вы можете разместить файлы в зашифрованном «личном» каталоге или зашифровать весь домашний каталог.

Зашифрованный Личный каталог

Ubuntu позволяет вам зашифровать «частный» каталог в вашем домашнем каталоге. Это обеспечивает надежную криптографическую защиту ваших самых конфиденциальных данных, таких как ваши документы и ключи. Этот каталог автоматически монтируется при входе в систему и размонтируется при выходе из системы. Когда каталог отключен, злоумышленник имеет доступ только к вашим зашифрованным данным (AES256), но не к файлам или каталогам, хранящимся в нем.

Зашифрованные данные находятся в $ HOME / .Private , а при подключении расшифрованные данные находятся в $ HOME / Private . Некоторая важная информация о конфигурации хранится в $ HOME / .ecryptfs .

Во время процесса установки возникает вопрос о настройке каталога Encrypted Private. Если вы хотите настроить каталог Encrypted Private позже, просто запуститеe

cryptfs-setup-private

Шифрование  Home

Ubuntu позволяет настроить шифрование домашней директории с помощью Desktop CD. На экране «Настройка пользователя» после выбора имени пользователя и пароля Вы можете выбрать один из следующих вариантов:

• войти в систему автоматически
• требуется пароль для входа
• требуется пароль для входа и расшифровки вашего домашнего каталога

Пользователи, которым нужен каталог Encrypted Home, должны выбрать третий вариант.

По сути у Вас 2 варианта - либо Вам придется сделать резервную копию ваших данных для повторной установки системы и дальнейшего шифрования диска, либо воспользоваться вариантом  EncryptedHome

Есть еще и другие пути решения этого вопроса, но я рассмотрел основные.

Answer 3

Опишу вкратце способы шифрования в Linux на уровне файловой системы:

1. eCryptfs.
   Является криптографической файловой системой. У каждого файла есть свои метаданные, причем в отдельном файле, и так, чтобы их можно было копировать с компьютера на компьютер. Файл можно расшифровать только при наличии ключа. Такой способ популярен для шифрования домашних директорий, как в Ubuntu. Плюс, используется в ChromeOS в сетевых устройствах, чтобы хранить данные (NAS).
2. EncFS.
   Это шифрованная файловая система в пространстве пользователя. Используется такая библиотека, как fuse вместе с ядром, чтобы предоставить интерфейс самой файловой системы. Является свободным ПО, распространяется под GPL-лицензией.

Есть также возможность блочного шифрования на устройстве:

1. Loop-AES.
   Довольно шустрая файловая система и пакет для шифрования раздела подкачки в ОС. Код программы уже давно не менялся. Работает с различными ядрами (4.x, 3.x, 2.2, 2.0).
2. TrueCrypt.
   Свободное ПО для шифрования диска. Открытый исходный код. Используется в Windows 7, Windows Vista, Windows XP, Mac OS, Linux.
3. dm-crypt + LUKS.
   Обширное решение, которое может шифровать диск в ядре 2.6 и выше. Есть поддержка шифрования съемных устройств, целых дисков, разделов, томов, ПО, файлов и т. д.

Более детальную информацию можно подсмотреть в источниках по любому из пунктов с описанием, как конкретно работать с шифрованием и какие команды вводить для настройки.