Chiffrement via LUKS

ATTENTION : les manipulations suivantes peuvent réellement vous empêcher de démarrer votre machine, et pire : si vous vous trompez de partitions, le risque est réel de "flinguer" définitivement vos données + le système !

On vous aura prévenu !

Ne vous lancez pas seul si vous n'êtes pas capable de récupérer une machine qui ne démarre plus - venez à nos réunions informatisées, on saura vous aider et vous assister !

Je n'aime pas spécialement le chiffrement LUKS, mais pour ceux que ça intéresse, voilà quelques commandes à connaître.

L'idée ici est d'avoir créé avec gparted une partition vide sur son disque dur qui ne soit pas formatée - mettons /dev/nvme0n1pX pour la partition X du premier disque SSD NMVE.

Transformation de la partition en conteneur chiffré :

Code : Tout sélectionner

cryptsetup luksFormat --type luks2 --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time=XXXX --pbkdf argon2id /dev/nvme0n1pX

avec XXXX le nombre d'itérations de 1000 (correct et rapide à l'ouverture) à 10000 (plus sécurisé mais plus long à l'ouverture)

Ouverture du conteneur dans /dev/mapper/mondisquechiffre :

Code : Tout sélectionner

cryptsetup open /dev/nvme0n1pX mondisquechiffre

La première fois, formatage du conteneur en ext4 :

Code : Tout sélectionner

mkfs.ext4 /dev/mapper/mondisquechiffre

Montage du conteneur dans le dossier de votre choix :

Code : Tout sélectionner

mount /dev/mapper/mondisquechiffre /monpointdemontagepourledisquechiffre/

Démontage propre du conteneur :

Code : Tout sélectionner

umount /monpointdemontagepourledisquechiffre

Fermeture du conteneur :

Code : Tout sélectionner

cryptsetup close mondisquechiffre

Si vous voulez ensuite le montage automatique du conteneur avec mot de passe au démarrage :

Installation de systemd-cryptsetup :

Code : Tout sélectionner

apt update
apt install systemd-cryptsetup -y

Déclaration du conteneur :

Code : Tout sélectionner

blkid /dev/nvme0n1pX # pour repérer l'UUID de /dev/nvme0n1pX

puis mettre dans /etc/crypttab :

Code : Tout sélectionner

mondisquechiffre UUID=... none luks,discard,tries=3

avec les ... pour l'UUID sans guillemets.

Modification de /etc/fstab :

Code : Tout sélectionner

/dev/mapper/mondisquechiffre /monpointdemontagepourledisquechiffre ext4 defaults,nofail 0 2

Et pour finir, ne pas oublier de mettre les noyaux à jour :

Code : Tout sélectionner

update-initramfs -u -k all

et bien sûr, de redémarrer pour tester en croisant les doigts pour que tout soit ok, sinon blocage assuré...