Dotaz: Šifrování disku po instalaci Ubuntu 16.04

[tom591]

Zdravím, při instalaci Ubuntu 16.04 mi systém nabízel zašifrování celého disku (home), tuto možnost jsem nevyužil.

Lze ho šifrovat po instalaci (a jak)? Nejsou pak později nějaké problémy se systémem?

Díky za reakce.

---

---

Odpovědi

[tom591]

Lze.

[tom591]

Nejjednodušší je odsunout data stranou, přeinstalovat a data zas vrátit zpět. Pokud víš, co a jak, tak stačí přeinstalovat minimálním systémem a pak přeplácnout původní instalací (na úrovni filesystému, takže šifrovaný oddíl z minimální instalace zůstane). Jen si pak dát si pozor, aby to nabootovalo.

Pokud víš, co děláš, a máš záložní kopii, lze disk zašifrovat dodatečně, ale je to poněkud riskantní (pokud se cokoliv nepovede, tak o všechna data přijdeš). Spočívá to v posunutí začátku oddílu, vytvoření LUKS + LVM pod ním a zašifrováním na místě.

Ať použiješ jakýkoliv postup, ujisti se, že máš funkční a aktuální zálohu všeho.

[Jendа]

zašifrování celého disku (home)

Také bych si ujasnil pojmy:

• Zašifrování celého disku: / i vše další bude na LUKSu (ať už jako jedna velká partition, nebo třeba jako LVM), nešifrované je jen /boot nebo dokonce jenom GRUB s podporou LUKSu.
• Zašifrování /home: /home je na LUKSu
• Zašifrování domovského adresáře: uživatelský adresář je na encfs/ecryptfs. Je vidět adresářová struktura, velikosti souborů a některá další metadata.

[k3dAR]

upresnim, ze v *buntu instalator umoznuje 2 automaticke nezavisle moznosti:
1."Zabezpecit novou instalaci sifrovanim"
- pomoci LUKS
- vzdy nad LVM (nelze bez *1)
- vzdy s nesifrovanym /boot (nelze jinak *1)
- heslo se zadava do initramfs pri splashscreenu (nelze jinak *1)

To se dodatecne dela komplikovane, postupne, nejdriv zmensit stavajici oddil a na jeho miste vytvorit LUKS,v nem LVM, v nem root volume a nakopirovat data z nesifrovaneho rootfs / ... podle velikosti bud na jeden zatah nebo postupne prekopirovat neco, zmensit stavajici, zvetsit sifrovanej, zas zkopirovat neco... pak pripravit /etc/crypttab pregenerovat initramfs a grub a(?)...

2. "Sifrovat mou domovskou slozku"
- sifruje pomoci
- nesouvisi s LVM
- heslo se nezadava, ale pri zadani hesla pri prihlaseni do plochy se automaticky "rozsifruje" /home/uzivatel

To se dodatecne da udelat mnohem snadneji a za chodu, pomoci:

sudo ecryptfs-migrate-home -u jmenouzivatele

*1) - nelze jinak pri tom automatickem, ale pokud se da rucni rozdeleni disku, lze udelat i sifrovanej boot, a instalaci pak na to nastavit, po dokonceni instalace pak nerestartovat, ale pridat "GRUB_ENABLE_CRYPTODISK=y" do /etc/default/grub a pomoci update-grub pregenerovat grub configuraci... heslo se pak zadava primo do Grubu, resp. jeste nez se zobrai Grub menu... aby heslo zaroven pak nechtel i initramfs je potreba pridat do LUKS klic v souboru kterej je umisten v initramfs a pridat script co to odemkne automaticky (viz: http://www.pavelkogan.com/2015/01/25/linux-mint-encryption)

[Jendа]

To se dodatecne dela komplikovane, postupne, nejdriv zmensit stavajici oddil a na jeho miste vytvorit LUKS,v nem LVM, v nem root volume a nakopirovat data z nesifrovaneho rootfs / ... podle velikosti bud na jeden zatah nebo postupne prekopirovat neco, zmensit stavajici, zvetsit sifrovanej, zas zkopirovat neco...

cryptsetup-reencrypt --new, viz sekce Examples v manuálu.

[k3dAR]

diky, to sem neznal :) jen ten pripadnej prechod na LVM to neda :) ale koukam ze to by mel dat nastroj blocks :)

[tom591]

Díky za reakce, rozhodnul jsem se tedy, vše zazálohovat a udělat novou instalaci.