Como criptografar uma partição de disco rígido no Linux com LUKS

Use o GNOME Disks para criar uma partição Linux criptografada com LUKS e, em seguida, desbloqueie-a e teste-a antes de armazenar arquivos. O processo formata a partição selecionada, portanto, faça backup de tudo o que estiver nela primeiro. Este fluxo de trabalho do GNOME Disks não é uma conversão direta nem uma maneira de criptografar uma partição de sistema ativa; use o instalador da sua distribuição para criptografia completa do sistema.

O que o LUKS protege

O LUKS criptografa os dados na camada de armazenamento. Um volume bloqueado é ilegível sem uma chave autorizada; depois de desbloqueado e montado, sua conta e seus aplicativos podem acessar os arquivos. Portanto, a criptografia em repouso não protege um computador já desbloqueado. A documentação de segurança do Ubuntu explica a proteção LUKS para dados em repouso .

Este guia abrange uma partição de dados ou unidade secundária. Para criptografar o disco que contém o Linux, use a configuração de criptografia de inicialização do instalador e siga as instruções da chave de recuperação; não formate o disco do sistema ativo em Discos.

Antes de começar

• Guarde a senha. Armazene uma senha forte e exclusiva em local seguro. Se todos os métodos de desbloqueio válidos forem perdidos, os dados não poderão ser recuperados. Unidades criptografadas também podem falhar, portanto, mantenha um backup separado.
• Verifique a compatibilidade. O LUKS foi projetado para armazenamento Linux. O Windows ou macOS podem exigir software adicional para abri-lo; teste sua configuração pretendida antes de confiar no acesso multiplataforma.

Criptografar uma partição com o GNOME Disks

1. Faça backup do dispositivo de destino. Copie os arquivos para outra unidade, verifique a cópia e, em seguida, desmonte o dispositivo de destino no Gerenciador de Arquivos.

   

2. Abra o aplicativo Discos e identifique a unidade de dados. Procure por "Discos" nos seus aplicativos. Se não estiver lá, instale o GNOME Disks a partir do gerenciador de software da sua distribuição ou do repositório oficial; o pacote geralmente tem o nome ` gnome-disks`. Selecione o dispositivo desejado e verifique o modelo, a capacidade e o mapa de volumes; o guia de partiçõesgnome-disk-utility do GNOME explica essa visualização e alerta que ferramentas de disco podem apagar dados. Consulte a página do projeto GNOME Disks .

   

3. Selecione o espaço a ser criptografado. Selecione espaço não alocado e clique em + para criar uma partição. Defina o tamanho e clique em Avançar . Use todo o espaço disponível para uma partição de dados criptografada ou reserve uma parte para uma área separada não criptografada. Formatar uma partição existente a apagará.

   

4. Escolha um sistema de arquivos Linux e habilite a criptografia. Dê um nome ao volume, escolha a opção de sistema de arquivos Linux (geralmente Linux (ext4) ) e ative a opção Proteger volume com senha . Algumas versões identificam essa opção como Linux criptografado ou LUKS. Não escolha Formatar disco a menos que você pretenda apagar a tabela de partições e todos os volumes.

   

5. Defina e confirme a senha. Em seguida, digite uma senha forte e exclusiva duas vezes. Dependendo da sua versão, esses campos podem aparecer na mesma caixa de diálogo ou em uma janela separada. Verifique o layout do seu teclado e salve a senha antes de prosseguir.

   

6. Revise e crie o volume. Clique em Criar ou Formatar somente após verificar a unidade, o tamanho e a opção de criptografia. Aguarde a conclusão. A partição deverá aparecer em Discos como um volume LUKS bloqueado. Se a criptografia não for exibida, interrompa o processo antes de copiar arquivos confidenciais.

   

7. Desbloqueie e monte o sistema de arquivos. Selecione o volume LUKS e escolha a opção de desbloqueio ou abertura. Digite a senha. Se o sistema de arquivos não for montado automaticamente, use a opção de montagem do sistema de arquivos desbloqueado.

   

8. Verifique o acesso e desmonte com segurança. Abra o volume no Gerenciador de Arquivos, crie um pequeno arquivo de teste e confirme se consegue lê-lo. Desmonte ou ejete o volume antes de desconectar. O Linux solicitará a senha na próxima vez que você conectar o dispositivo.

   

Criptografar uma unidade secundária inteira

Para um disco secundário vazio, crie uma partição LUKS utilizando todo o espaço disponível. Isso criptografa a partição de dados; as informações básicas da tabela de partições permanecem visíveis. Para criptografar apenas parte do disco, crie uma partição LUKS menor e deixe o restante como um sistema de arquivos separado. Os arquivos nessa outra área não são protegidos pelo volume criptografado.

Problemas comuns

• A opção de criptografia está ausente: o dispositivo ou sistema de arquivos escolhido pode não ser compatível com este método na sua versão. Cancele sem formatar e verifique as instruções LUKS da sua distribuição.
• A senha foi rejeitada: verifique se as maiúsculas e minúsculas estão corretas e se o layout do teclado está correto. Não inicialize ou formate o volume para solucionar o problema; isso pode destruir o acesso aos dados criptografados. Leia as perguntas frequentes (FAQ) do cryptsetup/LUKS antes de tentar a recuperação.