criptografia de disco completo (incluindo swap, possivelmente negação plausível também)

Question

Estou procurando um método para criptografar meu laptop, incluindo a partição de troca. Eu também li através de perguntas mais antigas, mas a resposta incluía apenas um o que não era muito como . (Atualmente estou trabalhando em um SSD de 128GB e no Debian Jessie)

Meu objetivo é ter

• uma criptografia de última geração
• disco totalmente criptografado (incluindo troca)
• uma única senha na inicialização para descriptografia
• criptografia automática no modo de hibernação / suspensão

interessante ter também uma segunda senha para inicializar um segundo sistema operacional válido para uma negação plausível.

    

Answer 1

Apenas resposta parcial, mas muito longa para comentários:

• criptografia de última geração: LUKS com um key-size razoavelmente longo

• criptografia total do disco: dm-crypt com LUKS

• senha única no login: Se não houver problema em ter /boot não criptografado, use crypttab , login automático no console virtual e inicie o X na inicialização.

• Eu nunca tentei trocar a criptografia, a hibernação nem a negatividade plausível.

Você está perguntando muito sobre sua única pergunta. Eu sugiro que você vá e experimente alguns dos tutoriais disponíveis on-line e, em seguida, volte para fazer perguntas mais específicas. Por exemplo. comece criptografando sua partição inicial, depois troque, depois a senha de inicialização.

Always back up your data!

    

Answer 2

Esses pontos são todos resolvidos pelo instalador padrão se você escolher a criptografia de disco completo:

• a state of the art encryption
• fully encrypted disk (including swap)
• a single password on boot for decryption
• automatic encryption on hibernate/suspend

Existem duas partições: /boot/ (sda1) não é criptografado, sda2 será criptografado, um grupo LVM será formado a partir do dispositivo criado e este grupo LVM será então dividido em / , /home/ e a partição swap. Esta partição swap também será usada para hibernação. Usar apenas uma única partição criptografada torna a necessidade de apenas uma senha, no tempo de inicialização ou de retomada, trivial.

Infelizmente, não encontrei nenhuma documentação sobre isso no wiki do Debian, mas o Archlinux tem este artigo .

a second password to boot to a second valid OS for plausible deniability.

Eu não sei de uma solução Linux para isso. E nenhuma solução real em qualquer lugar que torne o olhar de negação realmente plausível (no sentido de que o sistema "falso" deve parecer como se fosse usado regularmente); mas essa parte preferiria pertencer a security.stackexchange, IMHO.