Как настроить шифрование диска LUKS на Ubuntu при установке

[heckman]

Ставлю Ubuntu 24.04 на ноутбук, хочу зашифровать весь диск. В инсталляторе вижу галочку «зашифровать диск», но не до конца понимаю как это работает и насколько это надёжно. Стоит ли использовать встроенный вариант или лучше делать вручную через LUKS? И что будет если забуду пароль?

[Rhemix]

Встроенный вариант в установщике Ubuntu использует именно LUKS2 под капотом, так что это не два разных способа, а один и тот же механизм, просто с разным интерфейсом настройки. Галочка при установке — это LUKS с LVM. Надёжность современная, алгоритм по умолчанию aes-xts-plain64, длина ключа 512 бит. Этого более чем достаточно против физического доступа к ноутбуку.

[simmeon1]

Если хочешь больше контроля — ставь через ручную разметку. Лично я делаю так: /boot отдельный незашифрованный раздел (нужен для загрузчика), всё остальное — один большой LUKS-раздел, внутри которого LVM с root и swap. Пароль вводится один раз при загрузке. Команда для проверки что всё ок после установки: `cryptsetup luksDump /dev/sdaX` — там видны все параметры шифрования.

[kingpaul]

Про «забуду пароль» — данные будут безвозвратно утеряны, это и есть смысл шифрования. Поэтому обязательно сохрани LUKS-заголовок в безопасное место: `cryptsetup luksHeaderBackup /dev/sdaX --header-backup-file luks_header.bin`. Храни этот файл отдельно от ноутбука. Если заголовок повредится (редко, но бывает), без бэкапа данные не восстановить даже зная пароль.

[redis_guru]

Ещё совет: после установки добавь резервную парольную фразу во второй слот ключей: `cryptsetup luksAddKey /dev/sdaX`. LUKS поддерживает до 8 слотов. Это спасёт если вдруг основной пароль вылетит из головы — можно держать длинный резервный в менеджере паролей. Производительность на современном железе с AES-NI практически нулевая — я не замечаю разницы на своём ThinkPad X1 Carbon.

[kernel_veteran]

Один нюанс: если планируешь гибернацию (suspend-to-disk), убедись что swap тоже зашифрован, иначе содержимое RAM окажется на диске в открытом виде. При использовании LUKS+LVM это делается автоматически, но если ставишь вручную — проверь.

[kernel_veteran]

Добавлю момент, который в треде не прозвучал: после установки проверь, что зашифровалось именно всё, а не только home. Команда lsblk -f покажет дерево — должен быть crypto_LUKS поверх раздела, а внутри уже LVM с root и swap. И не ведись на вариант с TPM-автоанлоком, который инсталлятор 24.04 предлагает как экспериментальный: ноутбук тогда расшифровывается сам при загрузке, и от сценария «украли ноут целиком» это защищает заметно хуже классической парольной фразы.

[ransome]

@kingpaul, важное дополнение к твоему совету про бэкап заголовка: его надо переделывать после каждого изменения ключей. Если сменишь пароль, а потом восстановишь старый заголовок из бэкапа — диск откроется СТАРЫМ паролем, потому что слоты живут в заголовке. Это и фича (спасение при забытом новом пароле), и дыра: отозванная парольная фраза продолжает работать через старый бэкап. Так что хранить его надо так же бережно, как сам пароль.

[alansmit]

@redis_guru, про нулевую просадку с AES-NI подтверждаю, но это легко проверить заранее, не на глаз: cryptsetup benchmark прямо с live-флешки показывает скорость aes-xts на твоём железе. На современных ноутах там цифры в районе нескольких ГБ/с — упрёшься в SSD раньше, чем в шифрование. А вот на всякой мелочи типа старых Celeron без аппаратного AES разница уже ощутимая, там стоит подумать.