Como gerenciar backups de partições criptografadas

Question

Eu tenho o seguinte material com meu laptop:

• 20GiB SSD
• Disco Rígido 500GiB (Disco A)
• Disco Rígido Externo (Disco B)

O que eu quero:

• Meu Linux (Debian 9) criptografado no nível da partição (que eu gerencio), com separação clássica (root-var-home-tmp-boot) no SSD.
• Um backup dele. Eu não tenho tanta certeza sobre como eu quero, idealmente com algum versionamento, mas com a partição criptografada que significaria sincronizar no nível do sistema de arquivos e, em seguida, criptografar o backup.

Por enquanto, as melhores soluções que vi foram implementar o RAID 1 ( mdadm --> LUKS --> LVM --> ext4 ) ou usar rsync ou dd .

Parece que mdadm é a melhor maneira de conseguir o que eu quero por causa da criptografia, e que usar dd em uma partição ativa pode causar problemas. Mas isso significa que eu tenho que usar continuamente o disco A com um volume de 120GiB e disco B como um disco opcional sendo meu backup real.

Então, há algum jeito melhor de ir? Eu sinto que deveria haver, no final, o que eu realmente gostaria é de um dd-like do disco inteiro, que poderia ser feito na inicialização antes da descriptografia ou no desligamento. Isso seria ainda melhor para a restauração, porque eu quero proteger a maioria contra a corrupção do sistema. Está usando uma solução como rsync ou dd melhor para desempenho, mesmo que isso signifique uma nova criptografia? Haveria uma maneira fácil de restaurar a partir de um backup limpo se todo o sistema estivesse corrompido?

Todas as sugestões são bem vindas.
Obrigado!

    

Answer 1

Desde que você use criptografia AES e seu laptop suporta aes-ni (quase todas as modernas CPUs x86), a criptografia e a descriptografia não são caras. Sua melhor aposta seria provavelmente usar o rsnapshot em um disco criptografado. O Rsnapshot usa rsync e symlinks para fornecer versões simples de usar enquanto apenas duplica arquivos que foram alterados e pode até ser feito remotamente por ssh (o que significa que ele pode ser automatizado e limitado à largura de banda para minimizar o impacto no desempenho). Se estiver usando um disco removível local, você pode manter um arquivo de chaves para o disco removível criptografado no sistema principal (ou seja, só é acessível quando o disco principal for descriptografado) e parecer menos - apenas certifique-se de ter um backup de ele chave e / ou uma segunda frase secreta alternativa.