Cómo cifrar una partición con DM-Crypt LUKS en GNU/Linux (Usuarios avanzados)

TrueCrypt ya no existe, y el propósito de este post es mostrarte una encriptación de partición directa con dm-crypt luks.

Antes de nada quiero avisar que esta guía en manos de alguien con poca experiencia es un verdadero peligro, por los riesgos que conlleva formatear una partición de un disco duro y encriptarlo, lo que llevaría a la inutilización del dispositivo.

DM-Crypt es un subsistema de cifrado de discos que provee cifrado transparente de dispositivos de bloque utilizando la utilidad cryptoapi del kernel de Linux. Las escrituras a este dispositivo serán cifradas y las lecturas descifradas. Se podrá montar un sistema de archivos en el mismo de la manera habitual, pero no se podrán acceder los datos sin la clave.

Primero asegúrate de que tienes al menos una partición sin datos. Si no tienes ninguna partición disponible, usa, gparted, por ejemplo o cualquier otro programa que quieras para reducir algunas de tus particiones existentes y crear una nueva.

Usaré una partición llamada /dev/sda3, y nuestra primera tarea será sobrescribir esa partición 3 veces con datos aleatorios, eso es suficiente para protegerte contra la investigación forense. Me tomó casi 30 minutos para que la partición de 20 GB se sobrescribiera 3 veces. Esto no deben se saberlo los del PP.

shred --verbose --random-source=/dev/urandom --iterations=3 /dev/sda3

Crea un dispositivo criptográfico de mapeo de dispositivos en el modo de cifrado LUKS:

cryptsetup --verbose --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time 5000 --use-random luksFormat /dev/sda3

Se te hará la siguiente advertencia:

WARNING!

========

This will overwrite data on /dev/sda3 irrevocably.

Are you sure? (Type uppercase yes): YES

Enter passphrase:

Verify passphrase:

Command successful

Desbloquea la partición, aquí “root” es el nombre del mapeador de dispositivos, piensa en él como una etiqueta.

cryptsetup open --type luks /dev/sda3 root

Tenemos que crear un sistema de archivos para escribir datos encriptados que sean accesibles a través del nombre del mapeador del dispositivo (etiqueta).

mkfs.ext4 /dev/mapper/root

Monta el dispositivo y transfiere todos tus datos:

mount -t ext4 /dev/mapper/root /mnt

Desmonta y cierra el dispositivo una vez que hayas terminado:

umount /mnt

cryptsetup close root

Por último, pero no por ello menos importante, borra los búferes de copia y caché:

sysctl --write vm.drop_caches=3

Eso fue todo, una encriptación simple y directa. A partir de ahora todo lo que tienes que hacer es: desbloquear, montar, transferir datos, desmontar y cerrar el dispositivo.

Fuente: maslinux