Как зашифровать жесткий диск в Ubuntu

Шифрование вашего диска — это один из способов обеспечить безопасность вашей конфиденциальной информации. Без шифрования даже надежный пароль системы не сможет предотвратить доступ к вашим файлам с помощью другой операционной системы.

Шифрование преобразует читаемую информацию в нечитаемые данные, известные как шифротекст, которые могут быть расшифрованы только с помощью ключа. В Linux большинство дистрибутивов позволяет легко реализовать полное шифрование диска, как во время установки, так и позже.

В этом руководстве мы покажем вам, как зашифровать ваш диск в Ubuntu, независимо от того, настраиваете ли вы его в первый раз или добавляете шифрование к существующей системе.

Что такое полное шифрование диска?

Полное шифрование диска или FDE защищает весь диск, включая все файлы и системные данные. Например, во время загрузки вам нужно ввести пароль или ключ, чтобы разблокировать диск перед входом в вашу учетную запись.

Для оптимальной безопасности зашифруйте весь диск во время установки Linux. Это зашифрует как системные разделы, так и область подкачки, что обеспечит плавный процесс шифрования без ошибок. Однако полное шифрование диска может привести к небольшому снижению производительности, особенно на старом оборудовании.

Плюсы и минусы шифрования

Хотя шифрование всего жесткого диска звучит как безупречная идея, есть некоторые проблемы с его реализацией. Давайте рассмотрим плюсы и минусы.

Преимущества шифрования

• Повышенная конфиденциальность
• Только те, у кого есть ключ шифрования, могут получить доступ к операционной системе и всем файлам на ней
• Никакие государственные структуры или хакеры не смогут шпионить за вашей машиной и нарушать вашу конфиденциальность

Недостатки шифрования

• Доступ к и монтирование файловых систем Linux на других операционных системах Linux будет затруднительно, если не практически невозможно
• Восстановление данных из этих разделов невозможно
• Если пользователь потеряет ключ расшифровки, ему не повезло

Подготовка к установке

Шифрование с помощью Ubuntu лучше всего выполнять на уровне ОС именно в момент начала установки. Шифрование активной установки Ubuntu невозможно, поэтому создайте резервную копию всех важных файлов в Dropbox или Google Drive (или даже на дополнительных жестких дисках) и подготовьтесь к переустановке Ubuntu.

Начните с загрузки последней версии Ubuntu и подготовьте USB-флешку (размером не менее 2 ГБ).

Для создания загрузочной USB-диск нужен инструмент. Скачайте программу Etcher. Извлеките её из zip-архива и щелкните правой кнопкой мыши (или выделите файл мышью и нажмите клавишу Enter), чтобы запустить её.

Примечание: Etcher предложит создать иконку — выберите да.

Внутри Etcher нажмите кнопку Выбрать образ и перейдите к ранее загруженному образу ISO Ubuntu. Затем подключите USB-флешку. Etcher автоматически обнаружит её и выберет для вас. Наконец, нажмите кнопку Flash! для начала процесса создания.

После завершения перезагрузите компьютер с подключенной флешкой, войдите в BIOS компьютера и выберите опцию загрузки с USB.

Примечание: Если ваша машина не поддерживает загрузку с USB, скачайте 32-разрядную версию Ubuntu и запишите ISO на DVD с помощью программного обеспечения для записи на вашем компьютере.

Шифрование полного диска во время установки Ubuntu

Ubuntu Linux предлагает простую возможность шифрования всего диска, которую можно включить во время процесса установки. Эта функция упрощает шифрование, интегрируя LUKS (Linux Unified Key Setup), широко поддерживаемый стандарт шифрования дисков, непосредственно в процесс установки. После включения вы не сможете отключить шифрование без форматирования диска.

Начните процесс установки, загрузившись с установочного медиа Ubuntu. Когда вы начнете операцию разделения, выберите опцию Расширенные функции, чтобы настроить шифрование.

Далее выберите опцию Использование LVM и шифрования. LVM (Logical Volume Management) обеспечивает гибкость в управлении дисковым пространством, облегчая изменение размеров разделов или управление несколькими логическими томами.

Вы затем создадите ключ безопасности (пароль), который будете использовать каждый раз при загрузке системы для расшифровки диска.

В конце установщик отобразит новую компоновку разделов, включая разделы LVM. С включенным шифрованием эти разделы будут надежно зашифрованы. Просмотрите и подтвердите изменения перед продолжением.

Когда настройка завершена, завершите установку и перезагрузите вашу машину. Теперь при каждом запуске вам нужно будет ввести ключ безопасности, чтобы разблокировать зашифрованный диск. Без этого ключа данные на диске останутся недоступными.

К сожалению, полное шифрование диска нельзя добавить к существующей установке Ubuntu. Тем не менее, вы все равно можете зашифровать отдельные каталоги или разделы, используя LUKS или аналогичные инструменты.

Шифрование вашего диска после установки

Если вы уже установили Ubuntu и не хотите начинать всё заново с полной переустановки, вы все равно можете повысить безопасность вашей системы, зашифровав определенные области, такие как домашний каталог и область подкачки. Например, домашний каталог хранит конфиденциальные данные, специфичные для пользователя, тогда как операционная система использует область подкачки для временного хранения данных из ОЗУ.

Шифрование вашего домашнего каталога и области подкачки после установки обеспечивает дополнительный уровень безопасности, защищая ваши данные без необходимости полной переустановки системы. Хотя этот процесс относительно прост, всегда храните ваш ключ восстановления в безопасности, чтобы избежать потери данных.

Чтобы начать, установите пакеты Ecryptfs-utils и Cryptsetup для частичного шифрования:

sudo apt install ecryptfs-utils cryptsetup

Вы не можете зашифровать вашу активную домашнюю папку, будучи вошедшим в систему. Чтобы продолжить, создайте временного пользователя:

sudo adduser new-temp

Следуйте инструкциям для установки пароля и деталей пользователя. Далее предоставьте права sudo новому пользователю:

sudo usermod -aGsudo encrypt-temp

Выйдите и переключитесь на временного пользователя из меню питания:

Теперь зашифруйте домашний каталог целевого пользователя:

sudo ecryptfs-migrate-home -u

Замените на имя основного пользователя. Вам будет предложено ввести пароль основного пользователя. Этот процесс может занять некоторое время в зависимости от размера каталога.

После шифрования выйдите из временного пользователя и вернитесь к своей исходной учетной записи. Подтвердите шифрование, создавая и читая тестовый файл:

echo"Ваш текст"> test.txt &&cat test.txt

Если вы успешно написали и прочитали файлы, значит, шифрование применено корректно.

Кроме того, чтобы гарантировать, что вы не потеряете доступ к вашим данным, разумно записать ключ восстановления, запустив это:

sudo ecryptfs-unwrap-passphrase

Введите свой пароль при запросе.

Шифруйте область подкачки

Область подкачки расширяет физическую память (ОЗУ) на дисковое хранилище. Однако шифрование области подкачки гарантирует, что конфиденциальная информация остается вне незашифрованной виртуальной памяти. Обратите внимание, что это может повлиять на функции приостановки/возобновления системы.

Чтобы создать область подкачки в системе Linux, вы можете либо создать файл подкачки, либо раздел подкачки. Если у вас уже есть созданный файл подкачки, вы можете проверить текущие области подкачки, запустив:

swapon -s

Вы также можете проверить размер подкачки, выполнив:

free-h

Теперь, чтобы зашифровать область подкачки, выполните:

sudo ecryptfs-setup-swap

После завершения шифрования удалите временного пользователя:

sudo deluser --remove-home new-temp

Кроме того, резервная копия домашнего каталога создается в процессе шифрования. Вы можете найти её в “/home”, используя команду ls -lh /home.

Если всё работает нормально, вы можете безопасно удалить резервную копию с помощью следующей команды rm:

sudo rm -r 

Подведение итогов

Будь то создание новой системы или защита старой, шифрование диска предоставляет надежный уровень защиты. Кроме того, вы также можете зашифровать диск или раздел с помощью Cryptsetup и LUKS или использовать более простой альтернативный инструмент, такой как VeraCrypt.

Помните, шифрование — это лишь одна часть комплексной стратегии безопасности. Вы можете дополнительно повысить конфиденциальность вашего Linux-ноутбука, сочетая его с другими мерами, такими как брандмауэры и многофакторная аутентификация, для надежной защиты данных.