Chiffrement de disque

Le chiffrement du disque est une mesure essentielle pour protéger la sécurité des données. Même si un appareil est perdu ou volé, les données cryptées ne peuvent pas être lues par des personnes non autorisées. Cet article couvre diverses options de chiffrement de disque dans Ubuntu 26.04.

Chiffrement complet du disque LUKS

LUKS (Linux Unified Key Setup) est la solution de chiffrement de disque standard pour Linux.

Activation du chiffrement complet du disque pendant l’installation

L’activation du chiffrement complet du disque lors de l’installation de Ubuntu 26.04 est l’approche la plus simple :

1. Démarrez le programme d’installation
2. Dans l’étape “Type d’installation”, sélectionnez “Fonctionnalités avancées”
3. Cochez “Utiliser LVM” et “Crypter l’installation pour des raisons de sécurité”
4. Définissez un mot de passe de cryptage (n’oubliez pas de le mémoriser)
5. Terminez l’installation

Après l’installation, vous devrez saisir le mot de passe de cryptage à chaque démarrage pour déverrouiller le disque.

Chiffrement complet du disque basé sur TPM (TPM basé sur FDE)

Le programme d’installation de bureau Ubuntu 26.04 prend en charge le chiffrement complet du disque soutenu par TPM : la clé de cryptage est scellée dans la puce TPM 2.0 de la carte mère et liée aux mesures de démarrage sécurisé. Au démarrage, si l’intégrité du système est intacte, l’TPM libère automatiquement la clé pour déverrouiller le disque, sans nécessiter de mot de passe à chaque fois.

Activation pendant l’installation

1. À l’étape « Type d’installation » du programme d’installation, activez le chiffrement complet du disque.
2. Si un TPM utilisable est détecté et que le démarrage sécurisé est activé, le programme d’installation propose une option pour “déverrouiller avec l’TPM de cet ordinateur”.
3. Le programme d’installation génère une clé de récupération : stockez-la hors ligne ; c’est la seule solution de secours lorsque l’TPM ne peut pas déverrouiller le disque

Gestion de Ubuntu TPM/FDE

Gérez le code PIN, la phrase secrète et la clé de récupération via Security Center. Les commandes de réinscription génériques de systemd-cryptenroll ne constituent pas des instructions pour la maintenance de Ubuntu géré par le programme d’installation de TPM/FDE. Ne supprimez pas les emplacements de clé à l’aide d’un exemple fixe /dev/sda3.

Inspectez la disposition du stockage avec cette commande en lecture seule ; il n’établit pas que TPM/FDE est activé :

lsblk -f

Suivez la [documentation officielle sur le chiffrement matériel] (https://ubuntu.com/desktop/docs/en/latest/explanation/hardware-backed-disk-encryption/ ) pour la gestion des clés. Les contrôles LUKS ci-dessous s’appliquent uniquement aux volumes LUKS ordinaires gérés de manière indépendante ; remplacez les noms des appareils par des appareils réels vérifiés.

Vérification de l’état du cryptage

# View LUKS devices
sudo dmsetup status
 
# View LUKS details
sudo cryptsetup luksDump /dev/sda3
 
# View encrypted volume status
sudo cryptsetup status luks-volume-name
 
# View block devices and encryption relationships
lsblk -f

Chiffrement des périphériques de stockage externes

Chiffrer une clé USB avec LUKS

# Confirm the device name (very important -- avoid encrypting the wrong device)
lsblk
 
# Encrypt the partition (this will erase all data!)
sudo cryptsetup luksFormat /dev/sdb1
 
# Confirm by typing YES (uppercase), then set a password
 
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
 
# Format
sudo mkfs.ext4 /dev/mapper/encrypted_usb
 
# Mount
sudo mkdir -p /mnt/encrypted
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
 
# Unmount when done
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usb

Utilisation quotidienne de périphériques USB cryptés

Dans l’environnement de bureau GNOME, une invite de mot de passe apparaîtra automatiquement lorsque vous branchez un périphérique USB crypté. Opérations en ligne de commande :

# Open the encrypted device
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
 
# Mount
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
 
# ... use ...
 
# Unmount and close
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usb

Gestion des clés LUKS

Ajout de clés

Ubuntu 26.04 utilise LUKS2 par défaut, qui prend en charge jusqu’à 32 emplacements de clé (LUKS1 pris en charge uniquement 8, 0-7) :

# Add a new password
sudo cryptsetup luksAddKey /dev/sda3
# You must first enter an existing password, then enter the new one
 
# Add a key file
sudo dd if=/dev/urandom of=/root/luks-keyfile bs=4096 count=1
sudo chmod 600 /root/luks-keyfile
sudo cryptsetup luksAddKey /dev/sda3 /root/luks-keyfile

Suppression des clés

# Remove a specific key slot
sudo cryptsetup luksKillSlot /dev/sda3 1
 
# Remove a specific password (enter the password to remove)
sudo cryptsetup luksRemoveKey /dev/sda3

Affichage de l’état de l’emplacement de clé

sudo cryptsetup luksDump /dev/sda3 | grep "Key Slot"
# Example output:
# Key Slot 0: ENABLED
# Key Slot 1: ENABLED
# Key Slot 2: DISABLED
# ...

Changer un mot de passe

# Change an existing password
sudo cryptsetup luksChangeKey /dev/sda3
# Enter the old password first, then enter the new one

Déverrouillage automatique avec les fichiers clés

Configuration du déverrouillage automatique pour les partitions de données

Si le disque système est déjà chiffré, vous pouvez utiliser un fichier de clé pour déverrouiller automatiquement les partitions de données une fois le disque système déverrouillé :

# Generate a key file
sudo dd if=/dev/urandom of=/root/.luks-data-key bs=4096 count=1
sudo chmod 400 /root/.luks-data-key
 
# Add the key file to the LUKS device
sudo cryptsetup luksAddKey /dev/sdb1 /root/.luks-data-key
 
# Get the UUID
sudo blkid /dev/sdb1
 
# Configure /etc/crypttab
sudo nano /etc/crypttab

Ajouter à /etc/crypttab :

# <name>           <device>                                      <key file>            <options>
data_encrypted  UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx  /root/.luks-data-key  luks

Ajoutez la configuration de montage à /etc/fstab :

/dev/mapper/data_encrypted  /mnt/data  ext4  defaults  0  2

# Test the configuration
sudo cryptdisks_start data_encrypted
sudo mount /mnt/data

Chiffrement du répertoire personnel

Utilisation de fscrypt pour le chiffrement du répertoire personnel

Ubuntu 26.04 recommande fscrypt pour le chiffrement au niveau du répertoire :

# Install fscrypt
sudo apt install fscrypt libpam-fscrypt
 
# Initialize fscrypt (on the filesystem)
sudo fscrypt setup
sudo fscrypt setup /home
 
# Encrypt a new user's home directory
sudo fscrypt encrypt /home/newuser --user=newuser

Activation du cryptage pour les répertoires existants

# Create an encrypted directory
mkdir ~/Private
fscrypt encrypt ~/Private
 
# Choose a protection method (password, PAM login, etc.)
# PAM login protection is recommended -- auto-unlocks on login
 
# Lock the directory
fscrypt lock ~/Private
 
# Unlock the directory
fscrypt unlock ~/Private
 
# Check encryption status
fscrypt status ~/Private

Échange de chiffrement

Chiffrement de l’échange avec une clé aléatoire

# Edit /etc/crypttab
sudo nano /etc/crypttab

Ajouter:

cryptswap  /dev/sdXN  /dev/urandom  swap,cipher=aes-xts-plain64,size=256

Mettre à jour /etc/fstab :

/dev/mapper/cryptswap  none  swap  sw  0  0

Utilisation d’un fichier d’échange (sur un disque crypté LUKS)

Si le système utilise déjà le chiffrement complet du disque LUKS, le fichier d’échange est déjà protégé par chiffrement :

# Create a swap file
sudo fallocate -l 4G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
 
# Persist
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Optimisation des performances LUKS

Vérification des performances de chiffrement

# View current encryption algorithm
sudo cryptsetup luksDump /dev/sda3 | grep "Cipher"
 
# Benchmark encryption performance
sudo cryptsetup benchmark
 
# Example output:
# PBKDF2-sha1      1200000 iterations per second
# PBKDF2-sha256     800000 iterations per second
# Algorithm |  Key |  Encryption |  Decryption
#  aes-cbc   128b   1200.0 MiB/s   3500.0 MiB/s
#  aes-cbc   256b    900.0 MiB/s   2800.0 MiB/s
#  aes-xts   256b   2500.0 MiB/s   2600.0 MiB/s
#  aes-xts   512b   2100.0 MiB/s   2200.0 MiB/s

Options d’optimisation

# Use AES-NI hardware acceleration (most modern CPUs support it)
grep aes /proc/cpuinfo
 
# Specify high-performance parameters when creating an encrypted partition
sudo cryptsetup luksFormat --type luks2 --cipher aes-xts-plain64 --key-size 512 --hash sha256 /dev/sdb1

Sauvegarde de l’en-tête de chiffrement

La corruption de l’en-tête LUKS peut entraîner une perte totale de données ; sauvegardez-le toujours :

# Back up the LUKS header
sudo cryptsetup luksHeaderBackup /dev/sda3 --header-backup-file /safe/location/luks-header-backup
 
# Restore the LUKS header (for data recovery)
sudo cryptsetup luksHeaderRestore /dev/sda3 --header-backup-file /safe/location/luks-header-backup

Stockez la sauvegarde de l’en-tête LUKS dans un emplacement externe sécurisé (tel qu’un périphérique USB dans un coffre-fort).

Effacement des données d’urgence

Si vous devez détruire de toute urgence des données cryptées :

# Wipe the LUKS header (data will be permanently unrecoverable!)
sudo cryptsetup luksErase /dev/sda3
 
# Or overwrite the LUKS header area
sudo dd if=/dev/urandom of=/dev/sda3 bs=1M count=2

Cela ne prend que quelques secondes car il vous suffit de détruire les clés de cryptage, pas d’effacer toutes les données.

Dépannage

Mot de passe oublié

Si vous avez oublié le mot de passe LUKS et n’avez pas de fichier de clé de sauvegarde, les données ne peuvent pas être récupérées. Mesures préventives:

• Enregistrez le mot de passe de cryptage dans un gestionnaire de mots de passe
• Configurer plusieurs emplacements de clé comme sauvegardes
• Sauvegardez l’en-tête LUKS

Impossible de déverrouiller au démarrage

# Boot from a Live USB
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sda3 recovery
 
# Mount
sudo mount /dev/mapper/recovery /mnt
 
# Check and repair
sudo fsck /dev/mapper/recovery
 
# When done
sudo umount /mnt
sudo cryptsetup luksClose recovery