Как настроить шифрование диска LUKS на Ubuntu при установке

[matvey5497]

Ставлю Ubuntu 24.04 на ноутбук, хочу зашифровать весь диск. В инсталляторе вижу галочку «зашифровать диск», но не до конца понимаю как это работает и насколько это надёжно. Стоит ли использовать встроенный вариант или лучше делать вручную через LUKS? И что будет если забуду пароль?

[vlad_rust]

Встроенный вариант в установщике Ubuntu использует именно LUKS2 под капотом, так что это не два разных способа, а один и тот же механизм, просто с разным интерфейсом настройки. Галочка при установке — это LUKS с LVM. Надёжность современная, алгоритм по умолчанию aes-xts-plain64, длина ключа 512 бит. Этого более чем достаточно против физического доступа к ноутбуку.

[alex_ai72]

Если хочешь больше контроля — ставь через ручную разметку. Лично я делаю так: /boot отдельный незашифрованный раздел (нужен для загрузчика), всё остальное — один большой LUKS-раздел, внутри которого LVM с root и swap. Пароль вводится один раз при загрузке. Команда для проверки что всё ок после установки: `cryptsetup luksDump /dev/sdaX` — там видны все параметры шифрования.

[liza_sec23]

Про «забуду пароль» — данные будут безвозвратно утеряны, это и есть смысл шифрования. Поэтому обязательно сохрани LUKS-заголовок в безопасное место: `cryptsetup luksHeaderBackup /dev/sdaX --header-backup-file luks_header.bin`. Храни этот файл отдельно от ноутбука. Если заголовок повредится (редко, но бывает), без бэкапа данные не восстановить даже зная пароль.

[yaroslav_hex13]

Ещё совет: после установки добавь резервную парольную фразу во второй слот ключей: `cryptsetup luksAddKey /dev/sdaX`. LUKS поддерживает до 8 слотов. Это спасёт если вдруг основной пароль вылетит из головы — можно держать длинный резервный в менеджере паролей. Производительность на современном железе с AES-NI практически нулевая — я не замечаю разницы на своём ThinkPad X1 Carbon.

[lera_cache57]

Один нюанс: если планируешь гибернацию (suspend-to-disk), убедись что swap тоже зашифрован, иначе содержимое RAM окажется на диске в открытом виде. При использовании LUKS+LVM это делается автоматически, но если ставишь вручную — проверь.