Шифрование без потери данных на Linux?

Question

[user0name0]

Какие есть варианты шифрования всего диска или хотя бы раздела /home без потери данных?

В случае шифрования только /home, какие данные могут быть получены при наличии физического доступа?

Comments

[dollar]

А что, есть шифрование с потерей данных?

[Дмитрий Шицков]

dollar, думаю, хеширование диска :)

[user0name0]

dollar, Конечно. Диск/раздел шифруется, все данные удаляются и только потом на него можно записывать информацию. Для шифрования без потерь данных можно использовать luksipc или cryptsetup-reencrypt, но мне интересно, какие еще есть варианты и какой из них самый лучший.

[Lynn «Кофеман»]

Ecryptfs

[user0name0]

Алексей Тен, Хотелось бы зашифровать весь раздел, а не каждый файл по отдельности.

[Lynn «Кофеман»]

https://wiki.archlinux.org/index.php/disk_encryption

[NSA-bot]

А какой Линукс?

[user0name0]

NSA-bot, Mint.

Answer 1

[Xadok]

Не имеет смысла шифровать только /home. Шифруйте заодно /var и swap. Самый удобный для использования вариант - шифрование всего накопителя LUKS'ом. Остаётся только раздел efi, т.к. раньше невозможна была загрузка с криптованного раздела, сейчас появился cryptoboot, но у себя пока не развернул его. На полностью шифрованный накопитель ставим lvm. Получаем +1 уровень абстракции от lvm. Также естественно потеря скорости из-за этого и из-за шифрования. На ssd не сильно заметна эта разница, но на HDD возможен другой результат. Указанный процесс хорошо описан https://wiki.archlinux.org/index.php/Dm-crypt/Encr... здесь, также там есть overview основных способов шифрования целого накопителя кроме truecrypt/veracrypt.

Answer 2

[Станислав Бодро́в]

Как сказано выше - GnuPG. Может не идти по умолчанию в некоторых вариантах дистрибутивов (вариант minimal), устанавливается одной командой, много места не занимает. Крайне удобная и функциональная программа. Поддерживает симметричное и асимметричное (даже на эллиптических кривых) шифрование, подпись, сжатие.

В случае шифрования только /home, какие данные могут быть получены при наличии физического доступа?

В случае симметричного ключа 256 бит или асимметричного ключа на эллиптических кривых 512 бит кроме головной боли для постороннего ничего.

Comments

[user0name0]

Выше ответил:

все зашифрованные данные, которые без приватной части ключа - всего лишь мусор.

Я имел в виду, вне раздела /home. В /tpm, например, в /opt, или еще где.

Мне не отдельные файлы шифровать же нужно, а раздел или диск. И я чего-то сомневаюсь, что GPG будет шифровать целый раздел. Было бы дело в файлах, я бы просто Veracrypt'ом шифрованный том сделал и кидал бы туда нужные данные.

Answer 3

[NSA-bot]

Так в Linux Mint же есть полнодисковое шифрование из коробки. При установке системы ставите галочку и указываете какие разделы и все шифруется (если не ошибаюсь LUKSом). Можно отдельно хомяка зашифровать, и для вас это будет действовать прозрачно. А если подмонтировать такой раздел под другим пользователем или к другому компу, то там ничего не видно. Ну то есть видно, что есть зашифрованное и все.

Comments

[NSA-bot]

Причем уже в нескольких последних версиях. Можно сказать давно.

[user0name0]

NSA-bot, При установке только home можно шифровать, насколько я помню. И мне нужно без потери данных, переустановка не подойдёт. А что насчёт моего поста-ответа по cryptsetup-reencrypt, там ничего не подскажешь?

[NSA-bot]

user0name0, к сожалению им пока не пользовался

Answer 4

[O . J]

GnuPG (от же GPG) - на большинстве дистрибутивах уже предустановлен. В основном используется для ассиметричного шифрования.

какие данные могут быть получены при наличии физического доступа?

все зашифрованные данные, которые без приватной части ключа - всего лишь мусор.

Comments

[user0name0]

все зашифрованные данные, которые без приватной части ключа - всего лишь мусор.

Я имел в виду, вне раздела /home. В /tpm, например, в /opt, или еще где.

Мне не отдельные файлы шифровать же нужно, а раздел или диск. И я чего-то сомневаюсь, что GPG будет шифровать целый раздел. Было бы дело в файлах, я бы просто Veracrypt'ом шифрованный том сделал и кидал бы туда нужные данные.