LinuxでLUKSを使用してハードドライブパーティションを暗号化する方法

GNOME Disksを使用してLUKS暗号化されたLinuxパーティションを作成し、ファイルを保存する前にロックを解除してテストしてください。このプロセスでは選択したパーティションがフォーマットされるため、事前にパーティション上のすべてのデータをバックアップしてください。このGNOME Disksのワークフローは、インプレース変換やアクティブなシステムパーティションの暗号化には対応していません。システム全体の暗号化には、ディストリビューションのインストーラを使用してください。

LUKSが保護するもの

LUKSはストレージ層でデータを暗号化します。ロックされたボリュームは認証キーがないと読み取れません。ロックが解除されてマウントされると、アカウントやアプリからファイルにアクセスできるようになります。したがって、保存時の暗号化は、既にロックが解除されているコンピュータを保護するものではありません。Ubuntuのセキュリティドキュメントでは、保存時のデータに対するLUKSの保護について説明しています。

このガイドでは、データパーティションまたはセカンダリドライブについて説明します。Linux を含むディスクを暗号化するには、インストーラーの起動時暗号化設定を使用し、リカバリーキーの手順に従ってください。ディスクでアクティブなシステムディスクを再フォーマットしないでください。

始める前に

• パスフレーズは必ず保管してください。強力で固有のパスフレーズを安全な場所に保管してください。有効なロック解除方法をすべて失うと、データは復元できません。暗号化されたドライブも故障する可能性があるため、別途バックアップを作成してください。
• 互換性を確認してください。LUKSはLinuxストレージ向けに設計されています。WindowsまたはmacOSでは、LUKSを開くために追加のソフトウェアが必要になる場合があります。クロスプラットフォームアクセスを利用する前に、想定している構成でテストを行ってください。

GNOME Disksでパーティションを暗号化する

1. 対象のバックアップを作成します。対象のファイルを別のドライブにコピーし、コピーが正しいことを確認してから、ファイル管理画面で対象のドライブをアンマウントします。

   

2. ディスクを開いてデータドライブを特定します。アプリケーションで「ディスク」を検索してください。見つからない場合は、ディストリビューションのソフトウェアマネージャまたは公式リポジトリからGNOME Disksをインストールしてください。パッケージ名は一般的に ですgnome-disk-utility。目的のデバイスを選択し、モデル、容量、ボリュームマップを確認してください。GNOMEのパーティションガイドではこの表示について説明し、ディスクツールでデータが消去される可能性があることを警告しています。GNOME Disksプロジェクトページを参照してください。

   

3. 暗号化する領域を選択します。未割り当て領域を選択し、「+」をクリックしてパーティションを作成します。サイズを設定して「次へ」をクリックします。利用可能な領域すべてを1つの暗号化データパーティションに使用するか、一部を暗号化されていない別の領域として残しておきます。既存のパーティションをフォーマットすると、そのパーティションは消去されます。

   

4. Linuxファイルシステムを選択し、暗号化を有効にします。ボリュームに名前を付け、Linuxファイルシステムオプション（通常はLinux（ext4））を選択し、「ボリュームのパスワード保護」をオンにします。バージョンによっては、これを暗号化されたLinuxまたはLUKSオプションと表示する場合があります。パーティションテーブルとすべてのボリュームを消去するつもりがない限り、 「ディスクのフォーマット」は選択しないでください。

   

5. パスフレーズを設定し、確認してください。パスワード入力画面に進み、強力で固有のパスフレーズを2回入力してください。バージョンによっては、これらの入力欄が同じダイアログに表示される場合と、別のウィンドウに表示される場合があります。キーボードレイアウトを確認し、パスフレーズを保存してから先に進んでください。

   

6. ボリュームを確認して作成します。ドライブ、サイズ、暗号化オプションを確認してから、 「作成」または「フォーマット」をクリックしてください。完了するまでお待ちください。パーティションは、ディスクにロックされたLUKSボリュームとして表示されます。暗号化が表示されない場合は、機密ファイルをコピーする前に作業を中止してください。

   

7. ロックを解除してマウントします。LUKSボリュームを選択し、ロック解除またはオープン制御を選択します。パスフレーズを入力します。ファイルシステムが自動的にマウントされない場合は、ロック解除されたファイルシステムのマウント制御を使用します。

   

8. アクセス権限を確認し、安全にアンマウントしてください。ファイルでボリュームを開き、小さなテストファイルを作成して、読み取り可能であることを確認してください。接続を解除する前に、ボリュームをアンマウントまたはイジェクトしてください。次回接続時に、Linuxはパスフレーズの入力を求めます。

   

セカンダリドライブ全体を暗号化する

空のセカンダリドライブの場合は、利用可能なすべての領域を使用してLUKSパーティションを1つ作成します。これによりデータパーティションが暗号化されますが、基本的なパーティションテーブル情報は引き続き表示されます。ディスクの一部のみを暗号化する場合は、より小さなLUKSパーティションを作成し、残りの領域を別のファイルシステムとして残します。暗号化されたボリューム内のファイルは保護されません。

よくある問題

• 暗号化オプションがありません。お使いのバージョンでは、そのデバイスまたはファイルシステムがこの機能をサポートしていない可能性があります。フォーマットせずにキャンセルし、お使いのディストリビューションのLUKSに関する説明をご確認ください。
• パスフレーズが拒否されました。大文字と小文字の区別とキーボードレイアウトを確認してください。トラブルシューティングのためにボリュームを初期化または再フォーマットしないでください。暗号化されたデータへのアクセスが失われる可能性があります。復旧を試みる前に、上流のcryptsetup/LUKS FAQをお読みください。