Criptografia de disco completo de inicialização dupla do Windows / Linux

Question

Eu tenho uma inicialização dupla não criptografada do Windows10 / Manjaro em um SSD de 256Gb, além de um HDD de 1TB, onde armazeno a maioria dos meus dados.

As partições são organizadas da seguinte forma:

1Tb HDD :    
 |_ sda1 : exFAT partition, readable by both W$ and Linux

256 Gb SSD : 
 |_ sdb1 : EFI system boot partition
 |_ sdb2 : Microsoft reserved partition
 |_ sdb3 : NTFS Windows system partition
 |_ sdb4 : NTFS Windows recovery partition
 |_ sdb5 : ext4 / partition for Linux
 |_ sdb6 : ext4 /home partition for Linux
 |_ sdb7 : linux swap

O bootloader é o GRUB e permite que eu escolha entre os dois sistemas.

O que estou procurando é uma maneira de criptografar os dois discos rígidos e descriptografá-los, digitando uma senha antes do GRUB. É claro que eu gostaria de manter as partições existentes, o fato de que ambos os sistemas podem ler o conteúdo do HDD de 1 TB, e não quebrar o GRUB (se possível)

Vocês tem alguma ideia? Eu já verifiquei o Veracrypt para Windows e o LUKS para Linux, mas o Veracrypt parece quebrar o GRUB e criptografa apenas o Windows, e o LUKS é apenas para Linux.

    

Answer 1

Você precisará usar diferentes criptografias do sistema windows / linux e usar uma partição de dados comum com veracrypt e possivelmente fat ou ntfs (até onde eu saiba que não há mais nenhum driver ext para windows devido a assinaturas de driver forçadas. NTFS é não é a melhor escolha para o Linux, mas pode ter vantagens no Windows).

Se você deseja criptografar janelas com veracrypt, você precisa instalá-lo na partição, não na seção de bootloader do disco rígido e carregá-lo no grub.

Outra opção, que pode ser mais fácil, é FDE em um sistema e colocar o outro (com ou sem FDE) em uma VM.

    

Answer 2

O software de criptografia funciona dentro do sistema operacional. Você não pode carregar o software de criptografia de disco antes do sistema operacional. Pode haver software com o mesmo nome que é executado no Linux e no Windows (por exemplo, TrueCrypt / VeraCrypt), mas não é o mesmo código. Portanto, o código de criptografia não pode ser carregado antes do Grub. Ele só pode ser carregado depois de você ter escolhido um sistema operacional e sua inicialização iniciada.

Seria teoricamente possível ter um estágio de bootloader que solicite uma senha e, em seguida, passasse essa senha via memória para cada sistema operacional. No entanto, tal mecanismo não existe, tanto quanto eu sei; não poderia funcionar porque os métodos para passar um parâmetro tornariam o parâmetro disponível para os usuários após a inicialização, o que não é bom para uma senha.

Basta digitar sua senha quando o sistema operacional perguntar, após o prompt do Grub. Você só precisa digitar uma vez por inicialização, de qualquer forma.

Como criptografar discos funciona de forma completamente diferente no Windows e no Linux. É mais fácil se você fizer isso no momento da instalação, mas no Linux você pode usar luksipc (veja Há alguma utilidade ou procedimento disponível para criptografar meus dados ativos existentes para fazer uma criptografia de disco completa . Se você usar o luksipc e, em seguida, configurar a criptografia no Linux, será necessário executar sudo update-grub e sudo update-initramfs , caso contrário, o sistema não inicializará. Tenha um disco de recuperação à mão porque é fácil cometer um erro e acabar com um sistema não inicializável.