Cómo Encryptar Tu Disco Duro en Ubuntu

Encryptar tu disco es una forma de mantener segura tu información sensible. Sin encriptación, incluso una contraseña de sistema fuerte no es suficiente para evitar que alguien acceda a tus archivos utilizando otro sistema operativo.

La encriptación transforma información legible en datos ilegibles, conocidos como texto cifrado, que solo se pueden decodificar con una clave. En Linux, la mayoría de las distribuciones facilita permitir la encriptación de disco completo, ya sea durante la instalación o después.

En esta guía, te enseñaremos a encriptar tu unidad en Ubuntu, ya sea que la estés configurando por primera vez o que estés añadiendo encriptación a un sistema existente.

¿Qué es la Encriptación de Disco Completo?

La Encriptación de Disco Completo o FDE protege toda la unidad, incluidos todos los archivos y datos del sistema. Por ejemplo, durante el arranque, debes ingresar una frase de paso o clave para desbloquear la unidad antes de iniciar sesión en tu cuenta de usuario.

Para una seguridad óptima, encripta tu disco completo durante la instalación de Linux. Esto encriptará tanto las particiones del sistema como el espacio de intercambio, asegurando que el proceso de encriptación transcurra sin problemas y sin errores. Sin embargo, la encriptación del disco completo puede resultar en una pequeña disminución del rendimiento, particularmente en hardware más antiguo.

Pros y Contras de la Encriptación

Aunque encriptar un disco duro completo suena como una idea impecable, hay algunos problemas al hacerlo. Revisemos los pros y contras.

Beneficios de la encriptación

• Mayor privacidad
• Solo aquellos con la clave de encriptación pueden acceder al sistema operativo y a todos los archivos en él
• Ningún gobierno estatal o hacker puede espiar tu máquina e invadir tu privacidad

Desventajas de la encriptación

• Acceder y montar sistemas de archivos de Linux en otros sistemas operativos Linux será difícil, si no prácticamente imposible
• Recuperar datos de estas particiones es imposible
• Si un usuario pierde la clave de desencriptación, se queda sin suerte

Preparando la Instalación

Encryptar con Ubuntu se hace mejor a nivel de sistema operativo justo cuando comienza la instalación. No es factible encriptar una instalación activa de Ubuntu, así que respalda todos tus archivos importantes en Dropbox, Google Drive (o incluso en discos duros adicionales) y prepárate para reinstalar Ubuntu.

Empieza por descargar la última versión de Ubuntu y prepara una unidad flash USB (de al menos 2GB de tamaño).

Se necesita un programa para hacer un disco USB en vivo. Descarga la herramienta Etcher. Extráela del archivo zip, y haz clic derecho (o selecciónala con el mouse y presiona la tecla Enter) en el archivo extraído para ejecutarlo.

Nota: Etcher pedirá crear un icono – selecciona sí.

Dentro de Etcher, haz clic en el botón Seleccionar Imagen, y navega hasta la imagen ISO de Ubuntu descargada anteriormente. Luego, conecta el flash USB. Etcher lo detectará automáticamente y lo seleccionará por ti. Finalmente, selecciona el botón ¡Flashear! para iniciar el proceso de creación.

Una vez completado, reinicia el computador con el flash USB aún conectado, carga el BIOS del computador y selecciona la opción para arrancar desde USB.

Nota: Si tu máquina no soporta arrancar desde USB, descarga la versión de 32 bits de Ubuntu y graba el ISO en un DVD usando el software de grabación en tu computadora.

Encriptando un Disco Completo Durante la Instalación de Ubuntu

Ubuntu Linux ofrece una función de encriptación de disco completo sencilla que se puede habilitar durante el proceso de instalación. Esta función simplifica la encriptación al integrar LUKS (Linux Unified Key Setup), un estándar de encriptación de disco ampliamente soportado, directamente en su flujo de trabajo de instalación. Una vez habilitada, no puedes deshabilitar la encriptación sin reformatear el disco.

Comienza el proceso de instalación arrancando desde tu medio de instalación de Ubuntu. Cuando inicies la operación de particionado, selecciona la opción de Funciones Avanzadas para configurar la encriptación.

A continuación, elige Usar LVM y encriptación. LVM (Logical Volume Management) proporciona flexibilidad en la gestión del espacio en disco, facilitando el redimensionamiento de particiones o la gestión de múltiples volúmenes lógicos.

Luego crearás una clave de seguridad (contraseña), que usarás cada vez que inicies el sistema para desencriptar la unidad.

Al final, el instalador mostrará el nuevo esquema de particiones, incluidas las particiones LVM. Con la encriptación habilitada, estas particiones estarán encriptadas de forma segura. Revisa y confirma los cambios antes de proceder.

Una vez que la configuración esté completa, finaliza la instalación y reinicia tu máquina. Ahora, cada vez durante el arranque, necesitarás ingresar la clave de seguridad para desbloquear la unidad encriptada. Sin esta clave, los datos en la unidad permanecerán inaccesibles.

Desafortunadamente, la encriptación de disco completo no se puede añadir a una instalación existente de Ubuntu. Sin embargo, aún puedes encriptar directorios o particiones individuales utilizando LUKS o herramientas similares.

Encriptando Tu Disco Después de la Instalación

Si ya has instalado Ubuntu y no quieres comenzar de nuevo con una reinstalación completa, aún puedes mejorar la seguridad de tu sistema encriptando áreas específicas como el directorio de inicio y el espacio de intercambio. Por ejemplo, el directorio de inicio almacena datos sensibles específicos del usuario, mientras que el sistema operativo utiliza el espacio de intercambio para almacenar temporalmente datos de la RAM.

Encriptar tu directorio de inicio y el espacio de intercambio después de la instalación proporciona una capa adicional de seguridad, resguardando tus datos sin requerir una reinstalación completa del sistema. Aunque este proceso es relativamente sencillo, siempre guarda tu frase de paso de recuperación para prevenir la pérdida de datos.

Para comenzar, instala los paquetes Ecryptfs-utils y Cryptsetup para encriptación parcial:

sudo apt install ecryptfs-utils cryptsetup

No puedes encriptar tu carpeta de inicio activa mientras estés conectado. Para proceder, crea un usuario temporal:

sudo adduser new-temp

Sigue las indicaciones para establecer una contraseña y detalles del usuario. A continuación, otorga privilegios de sudo al nuevo usuario:

sudo usermod -aGsudo encrypt-temp

Cierra sesión y cambia al usuario temporal desde el menú de energía:

Ahora, encripta el directorio de inicio del usuario objetivo:

sudo ecryptfs-migrate-home -u

Reemplaza con el nombre del usuario principal. Se te solicitará ingresar la contraseña del usuario principal. Este proceso puede tardar un tiempo dependiendo del tamaño del directorio.

Después de la encriptación, cierra sesión del usuario temporal y regresa a tu cuenta original. Verifica la encriptación creando y leyendo un archivo de prueba:

echo"Your Text"> test.txt &&cat test.txt

Si logras escribir y leer archivos con éxito, has aplicado correctamente la encriptación.

Adicionalmente, para asegurarte de no perder el acceso a tus datos, es una buena idea anotar la frase de paso de recuperación ejecutando esto:

sudo ecryptfs-unwrap-passphrase

Ingresa tu contraseña de inicio de sesión cuando se te solicite.

Encriptar el espacio de intercambio

El espacio de intercambio extiende la memoria física (RAM) en el almacenamiento en disco. Sin embargo, encriptar el espacio de intercambio asegura que la información sensible permanezca fuera de la memoria virtual no encriptada. Ten en cuenta que esto puede afectar la funcionalidad de suspensión/reanudación del sistema.

Para crear un espacio de intercambio en un sistema Linux, puedes crear un archivo de intercambio o una partición de intercambio. Si tienes un archivo de intercambio creado, puedes verificar los espacios de intercambio actuales ejecutando:

swapon -s

También puedes verificar el tamaño del intercambio ejecutando este comando:

free-h

Ahora, para encriptar el espacio de intercambio, ejecuta:

sudo ecryptfs-setup-swap

Una vez completada la encriptación, elimina el usuario temporal:

sudo deluser --remove-home new-temp

Además, se crea una copia de respaldo del directorio de inicio durante el proceso de encriptación. Puedes encontrarla en “/home” usando el comando ls -lh /home.

Si todo funciona bien, puedes eliminar la copia de seguridad de manera segura con el siguiente comando rm:

sudorm-r

Conclusión

Ya sea que estés construyendo un nuevo sistema o asegurando uno más antiguo, la encriptación de disco proporciona una capa sólida de protección. Además, también puedes encriptar un disco o partición utilizando Cryptsetup con LUKS, o puedes usar una alternativa fácil de usar como VeraCrypt.

Recuerda, la encriptación es solo una parte de una estrategia de seguridad integral. Puedes mejorar aún más la privacidad de tu computadora portátil Linux combinándola con otras medidas, como cortafuegos y autenticación multifactor, para una sólida protección de datos.