Cifrado de disco
Restricción de actualización de 26.10 (verificada el 18 de octubre de 2026): Los sistemas FDE respaldados por TPM no pueden actualizarse in situ desde 26.04 en el momento del lanzamiento. Los LUKS genéricos y Ubuntu TPM/FDE utilizan diferentes rutas de administración; no aplique rotación de claves genéricas ni ediciones GRUB a TPM/FDE. Consulte 26.10 problemas conocidos.
El cifrado de disco es una medida crítica para proteger la seguridad de los datos. Incluso si un dispositivo se pierde o es robado, personas no autorizadas no pueden leer los datos cifrados. Este artículo cubre varias opciones de cifrado de disco en Ubuntu 26.04.
La contraseña de cifrado es la única credencial para acceder a sus datos. Si olvida la contraseña y no tiene un archivo de clave de respaldo o una copia de seguridad del encabezado LUKS, los datos cifrados serán permanentemente irrecuperables. Asegúrese de guardar su contraseña en un administrador de contraseñas y almacene una copia de seguridad del encabezado LUKS en una ubicación externa segura.
Cifrado de disco completo LUKS
LUKS (Configuración de clave unificada de Linux) es la solución de cifrado de disco estándar para Linux.
Habilitación del cifrado de disco completo durante la instalación
Habilitar el cifrado de disco completo durante la instalación de Ubuntu 26.04 es el enfoque más simple:
- Iniciar el instalador
- En el paso “Tipo de instalación”, seleccione “Funciones avanzadas”
- Marque “Usar LVM” y “Cifrar la instalación por seguridad”
- Establezca una contraseña de cifrado (asegúrese de recordarla)
- Completa la instalación
Después de la instalación, deberá ingresar la contraseña de cifrado en cada inicio para desbloquear el disco.
Cifrado de disco completo respaldado por TPM (FDE respaldado por TPM)
El instalador de escritorio Ubuntu 26.04 admite cifrado de disco completo respaldado por TPM: la clave de cifrado está sellada en el chip TPM 2.0 de la placa base y vinculada a medidas de arranque seguro. En el arranque, si la integridad del sistema está intacta, TPM libera la clave para desbloquear el disco automáticamente, sin requerir una contraseña cada vez.
Habilitación durante la instalación
- En el paso “Tipo de instalación” del instalador, habilite el cifrado de disco completo
- Si se detecta un TPM 2.0 utilizable y el arranque seguro está habilitado, el instalador ofrece una opción para “desbloquear con el TPM de esta computadora”
- El instalador genera una clave de recuperación: guárdela sin conexión; es el único recurso alternativo cuando TPM no puede desbloquear el disco
La clave sellada TPM está destinada a las medidas de arranque. Reemplazar la placa base, borrar TPM, deshabilitar el arranque seguro o una actualización importante del firmware puede hacer que TPM se niegue a desbloquearse. En ese caso, debes usar la clave de recuperación para desbloquear manualmente, o los datos serán inaccesibles. Mantenga la clave de recuperación en un lugar seguro separado del dispositivo.
A partir de 26.04.1, el PIN obligatorio TPM/FDE se puede desactivar en hardware cuyo firmware no se puede verificar automáticamente. La documentación oficial advierte que esto reduce la protección contra la manipulación del firmware, así que decida según su modelo de amenaza.
Gestión de Ubuntu TPM/FDE
Administre el PIN, la frase de contraseña y la clave de recuperación a través de Security Center. Los comandos genéricos de reinscripción de systemd-cryptenroll no son instrucciones para mantener Ubuntu administrado por el instalador TPM/FDE. No elimine las ranuras de clave utilizando un ejemplo /dev/sda3 fijo.
Inspeccione el diseño del almacenamiento con este comando de solo lectura; no establece que TPM/FDE esté habilitado:
lsblk -fSiga la documentación oficial de cifrado respaldada por hardware para la administración de claves. Las comprobaciones de LUKS a continuación se aplican únicamente a volúmenes LUKS ordinarios administrados de forma independiente; reemplace los nombres de los dispositivos con dispositivos reales verificados.
Comprobación del estado de cifrado
# View LUKS devices
sudo dmsetup status
# View LUKS details
sudo cryptsetup luksDump /dev/sda3
# View encrypted volume status
sudo cryptsetup status luks-volume-name
# View block devices and encryption relationships
lsblk -fCifrar dispositivos de almacenamiento externos
Cifrar una unidad USB con LUKS
# Confirm the device name (very important -- avoid encrypting the wrong device)
lsblk
# Encrypt the partition (this will erase all data!)
sudo cryptsetup luksFormat /dev/sdb1
# Confirm by typing YES (uppercase), then set a password
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
# Format
sudo mkfs.ext4 /dev/mapper/encrypted_usb
# Mount
sudo mkdir -p /mnt/encrypted
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
# Unmount when done
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usbUso diario de dispositivos USB cifrados
En el entorno de escritorio GNOME, aparecerá automáticamente una solicitud de contraseña cuando conecte un dispositivo USB cifrado. Operaciones de línea de comando:
# Open the encrypted device
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
# Mount
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
# ... use ...
# Unmount and close
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usbGestión de claves LUKS
Agregar claves
Ubuntu 26.04 usa LUKS2 de forma predeterminada, que admite hasta 32 ranuras para claves (LUKS1 solo admite 8, 0-7):
# Add a new password
sudo cryptsetup luksAddKey /dev/sda3
# You must first enter an existing password, then enter the new one
# Add a key file
sudo dd if=/dev/urandom of=/root/luks-keyfile bs=4096 count=1
sudo chmod 600 /root/luks-keyfile
sudo cryptsetup luksAddKey /dev/sda3 /root/luks-keyfileQuitar llaves
# Remove a specific key slot
sudo cryptsetup luksKillSlot /dev/sda3 1
# Remove a specific password (enter the password to remove)
sudo cryptsetup luksRemoveKey /dev/sda3Visualización del estado de la ranura de clave
sudo cryptsetup luksDump /dev/sda3 | grep "Key Slot"
# Example output:
# Key Slot 0: ENABLED
# Key Slot 1: ENABLED
# Key Slot 2: DISABLED
# ...Cambiar una contraseña
# Change an existing password
sudo cryptsetup luksChangeKey /dev/sda3
# Enter the old password first, then enter the new oneDesbloqueo automático con archivos clave
Configurar el desbloqueo automático para particiones de datos
Si el disco del sistema ya está cifrado, puede usar un archivo de clave para desbloquear automáticamente las particiones de datos después de desbloquear el disco del sistema:
# Generate a key file
sudo dd if=/dev/urandom of=/root/.luks-data-key bs=4096 count=1
sudo chmod 400 /root/.luks-data-key
# Add the key file to the LUKS device
sudo cryptsetup luksAddKey /dev/sdb1 /root/.luks-data-key
# Get the UUID
sudo blkid /dev/sdb1
# Configure /etc/crypttab
sudo nano /etc/crypttabAgregar a /etc/crypttab:
# <name> <device> <key file> <options>
data_encrypted UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx /root/.luks-data-key luksAgregue la configuración de montaje a /etc/fstab:
/dev/mapper/data_encrypted /mnt/data ext4 defaults 0 2# Test the configuration
sudo cryptdisks_start data_encrypted
sudo mount /mnt/dataCifrar el directorio personal
Uso de fscrypt para el cifrado del directorio principal
Ubuntu 26.04 recomienda fscrypt para el cifrado a nivel de directorio:
# Install fscrypt
sudo apt install fscrypt libpam-fscrypt
# Initialize fscrypt (on the filesystem)
sudo fscrypt setup
sudo fscrypt setup /home
# Encrypt a new user's home directory
sudo fscrypt encrypt /home/newuser --user=newuserHabilitación del cifrado para directorios existentes
# Create an encrypted directory
mkdir ~/Private
fscrypt encrypt ~/Private
# Choose a protection method (password, PAM login, etc.)
# PAM login protection is recommended -- auto-unlocks on login
# Lock the directory
fscrypt lock ~/Private
# Unlock the directory
fscrypt unlock ~/Private
# Check encryption status
fscrypt status ~/PrivateIntercambio de cifrado
Cifrado de intercambio con una clave aleatoria
# Edit /etc/crypttab
sudo nano /etc/crypttabAgregar:
cryptswap /dev/sdXN /dev/urandom swap,cipher=aes-xts-plain64,size=256Actualización /etc/fstab:
/dev/mapper/cryptswap none swap sw 0 0Uso de un archivo de intercambio (en un disco cifrado con LUKS)
Si el sistema ya utiliza cifrado de disco completo LUKS, el archivo de intercambio ya está protegido mediante cifrado:
# Create a swap file
sudo fallocate -l 4G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
# Persist
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstabOptimización del rendimiento de LUKS
Comprobación del rendimiento del cifrado
# View current encryption algorithm
sudo cryptsetup luksDump /dev/sda3 | grep "Cipher"
# Benchmark encryption performance
sudo cryptsetup benchmark
# Example output:
# PBKDF2-sha1 1200000 iterations per second
# PBKDF2-sha256 800000 iterations per second
# Algorithm | Key | Encryption | Decryption
# aes-cbc 128b 1200.0 MiB/s 3500.0 MiB/s
# aes-cbc 256b 900.0 MiB/s 2800.0 MiB/s
# aes-xts 256b 2500.0 MiB/s 2600.0 MiB/s
# aes-xts 512b 2100.0 MiB/s 2200.0 MiB/sOpciones de optimización
# Use AES-NI hardware acceleration (most modern CPUs support it)
grep aes /proc/cpuinfo
# Specify high-performance parameters when creating an encrypted partition
sudo cryptsetup luksFormat --type luks2 --cipher aes-xts-plain64 --key-size 512 --hash sha256 /dev/sdb1Copia de seguridad del encabezado de cifrado
La corrupción del encabezado LUKS puede provocar la pérdida total de datos; siempre haga una copia de seguridad:
# Back up the LUKS header
sudo cryptsetup luksHeaderBackup /dev/sda3 --header-backup-file /safe/location/luks-header-backup
# Restore the LUKS header (for data recovery)
sudo cryptsetup luksHeaderRestore /dev/sda3 --header-backup-file /safe/location/luks-header-backupGuarde la copia de seguridad del encabezado LUKS en una ubicación externa segura (como un dispositivo USB en una caja fuerte).
Borrado de datos de emergencia
Si necesita destruir datos cifrados con urgencia:
# Wipe the LUKS header (data will be permanently unrecoverable!)
sudo cryptsetup luksErase /dev/sda3
# Or overwrite the LUKS header area
sudo dd if=/dev/urandom of=/dev/sda3 bs=1M count=2Esto sólo lleva unos segundos porque sólo necesita destruir las claves de cifrado, no borrar todos los datos.
Solución de problemas
Contraseña olvidada
Si olvidó la contraseña de LUKS y no tiene un archivo de clave de respaldo, los datos no se pueden recuperar. Medidas preventivas:
- Guarde la contraseña de cifrado en un administrador de contraseñas
- Configure múltiples ranuras para llaves como respaldo
- Haga una copia de seguridad del encabezado LUKS
No se puede desbloquear en el arranque
# Boot from a Live USB
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sda3 recovery
# Mount
sudo mount /dev/mapper/recovery /mnt
# Check and repair
sudo fsck /dev/mapper/recovery
# When done
sudo umount /mnt
sudo cryptsetup luksClose recovery