Шифрование LUKS: типичные ошибки и как их исправить

Коротко о главном

Шифрование диска защищает данные при потере ноутбука или краже диска из сервера. В Linux стандартом остаётся LUKS поверх dm-crypt: он шифрует блоки целиком, работает с любыми файловыми системами и поддерживается установщиками большинства дистрибутивов.

Без шифрования любой, кто получил физический доступ к диску, прочитает данные, обойдя пароли ОС. LUKS закрывает этот сценарий, но требует дисциплины: потерянный заголовок или пароль означает потерю данных.

Большинство проблем с Шифрование LUKS сводится к нескольким повторяющимся ошибкам. Ниже — что проверить в первую очередь и как не усугубить ситуацию.

Почему это происходит

Ошибки почти всегда связаны с контекстом: другая версия пакета, не тот пользователь, устаревший конфиг или команда из руководства для другой системы. Шифрование LUKS не исключение. Поэтому сначала фиксируем исходное состояние, затем меняем одну вещь за раз.

Типичные ошибки

Ниже — сбои, которые встречаются чаще всего. Перед исправлением сохраните текущие конфиги и запишите, какие изменения вносите: так проще откатиться.

1. Неверная парольная фраза

Проверьте раскладку и регистр. Если пароль утерян, без резервного слота или заголовка данные не восстановить.

2. Система не загружается после изменения crypttab

Загрузитесь с Live USB, смонтируйте систему и исправьте crypttab/fstab. Ошибка в UUID делает раздел недоступным.

3. Повреждён заголовок LUKS

Восстановите его из резервной копии на новый диск того же размера. Без копии восстановление невозможно.

Как настроить правильно

Правильная последовательность проста: проверить версию и зависимости, сделать резервную копию конфигурации, внести минимальное изменение, проверить логи и только потом двигаться дальше.

Установка

В Debian, Ubuntu и Linux Mint используется пакетный менеджер APT:

sudo apt install cryptsetup

В Fedora и RHEL-совместимых системах пакет ставится через DNF:

sudo dnf install cryptsetup

В Arch Linux и производных пакет доступен в официальных репозиториях:

sudo pacman -S cryptsetup

1. Сделайте резервную копию

Шифрование нового раздела уничтожает данные. Для существующего раздела используйте отдельную процедуру и обязательно имейте копию.

lsblk -o NAME,SIZE,FSTYPE
sudo cryptsetup benchmark

2. Создайте контейнер LUKS2

Укажите надёжную парольную фразу. LUKS2 поддерживает Argon2 и лучше защищает от подбора.

sudo cryptsetup luksFormat --type luks2 /dev/sdb1
sudo cryptsetup luksDump /dev/sdb1 | head

3. Откройте и создайте файловую систему

После открытия появляется устройство в /dev/mapper. Форматируйте именно его, а не исходный раздел.

sudo cryptsetup open /dev/sdb1 cryptdata
sudo mkfs.ext4 /dev/mapper/cryptdata
sudo mount /dev/mapper/cryptdata /mnt

4. Сохраните заголовок

Копия заголовка позволяет восстановить доступ при повреждении. Храните её отдельно и защищайте: она содержит ключевые слоты.

sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/luks-header.img
sudo chmod 600 /root/luks-header.img

Рабочий конфиг

Начните с минимального рабочего варианта. Не копируйте большой конфиг целиком: добавляйте параметры по одному и проверяйте результат после каждого изменения.

# /etc/crypttab
cryptdata UUID=xxxx none luks,discard

Практические советы

Эти рекомендации проверены на повседневных задачах. Начните с тех, которые закрывают вашу текущую боль, а не со всего списка сразу.

Совет 1. Храните резервную копию заголовка вне шифруемого диска.

Храните резервную копию заголовка вне шифруемого диска.

Совет 2. Не используйте один и тот же пароль для LUKS и учётной записи.

Не используйте один и тот же пароль для LUKS и учётной записи.

Совет 3. Проверяйте restore заголовка на тестовом устройстве.

Проверяйте restore заголовка на тестовом устройстве.

Совет 4. discard включает TRIM на SSD, но может раскрывать факт удаления данных

discard включает TRIM на SSD, но может раскрывать факт удаления данных.

Профилактика

Большинство повторяющихся сбоев с Шифрование LUKS связано не с ошибкой в самой программе, а с окружением: обновились зависимости, изменился путь, закончилось место или другой администратор поправил конфиг. Поэтому профилактика начинается с фиксации исходного состояния.

Сохраните рабочий конфиг в систему контроля версий, добавьте короткий комментарий о том, зачем нужен каждый нестандартный параметр, и запишите команду проверки. Через месяц вы скажете себе спасибо: восстановить логику по чужому файлу без пояснений почти невозможно.

Итог

Большинство ошибок с Шифрование LUKS лечится не переустановкой, а проверкой конфигурации, логов и прав доступа. Действуйте по одному изменению за раз — и причина быстро найдётся.