wiki/HowtoChiffrementData.md

---
categories: securité
title: Howto Chiffrement avec LUKS
...

* Documentation : <https://gitlab.com/cryptsetup/cryptsetup/wikis>


## Installation

~~~
# apt install cryptsetup

$ /usr/sbin/cryptsetup --version
cryptsetup 1.7.3

$ /sbin/modinfo dm_crypt
filename:       /lib/modules/4.9.0-3-amd64/kernel/drivers/md/dm-crypt.ko
license:        GPL
description:    device-mapper target for transparent encryption / decryption
author:         Jana Saout <jana@saout.de>
depends:        dm-mod
intree:         Y
vermagic:       4.9.0-3-amd64 SMP mod_unload modversions 
~~~

## Création

On peut créer un volume chiffré LUKS en renseignant une passphrase ainsi :

~~~
# cryptsetup --verbose --verify-passphrase luksFormat /dev/md7

WARNING!
========
This will overwrite data on /dev/md7 irrevocably.

Are you sure? (Type uppercase yes): YES
Enter LUKS passphrase:
Verify passphrase:
Command successful.
# cryptsetup luksOpen /dev/md7 crypt_md7
Enter LUKS passphrase:
key slot 0 unlocked.
Command successful.
# mkfs.ext3 /dev/mapper/crypt_md7
~~~

On peut aussi utiliser un fichier comme clé de chiffrement :

~~~
# dd if=/dev/random of=/root/foo.key bs=1 count=256
# cryptsetup --verbose --key-size=256 luksFormat /dev/md7 foo.key
~~~

## Utilisation

Voir si une partition est de type LUKS :

~~~
# cryptsetup isLuks /dev/hda7
# cryptsetup luksDump /dev/hda7
~~~

Déchiffrer une partition LUKS :

~~~
# cryptsetup luksOpen /dev/mapper/vol1-crypto_test crypto_test
# cryptsetup luksOpen /dev/hda7 hda7_crypt
~~~

Si la partition LUKS est protégée par un fichier :

~~~
# cryptsetup luksOpen --key-file /root/.keyfile /dev/md7 supersecretdata
~~~

Informations sur la partition chiffrée :

~~~
# cryptsetup status crypto_test
~~~

Stopper le déchiffrement d'une partition LUKS :

~~~
# cryptsetup luksClose crypto_test
~~~

## Gestion des passphrases

LUKS permet d'avoir plusieurs passphrases pour un même volume chiffré.

Pour ajouter une passphrase :

~~~
# cryptsetup luksAddKey /dev/hda7
Enter any LUKS passphrase:
key slot 1 unlocked.
Enter new passphrase for key slot:
Verify passphrase:
Command successful.
~~~

> *Note* : sur d'anciennes versions de *cryptsetup*, il fallait avoir la partition non dechiffrée pour pouvoir ajouter une passphrase : <http://bugs.debian.org/460409>

Pour supprimer une passphrase, on note son numéro avec :

~~~
# cryptsetup luksDump /dev/hda7
~~~

Puis on la supprime avec la commande :

~~~
# cryptsetup luksKillSlot /dev/hda7 <n°>
~~~

## Sauvegarde

Si l'entête du conteneur LUKS est corrompu, ceci rend la partition inutilisable.

On peut sauvegarde l'entête d'un conteneur LUKS ainsi :

~~~
# cryptsetup luksHeaderBackup --header-backup-file backup.txt /dev/hda7
~~~

Pour Restaurer l'entête :

~~~
# cryptsetup luksHeaderRestore --header-backup-file backup.txt /dev/hda7
~~~


## FAQ

Si vous obtenez un message de ce type :

~~~
Command failed: Failed to setup dm-crypt key mapping.
Check kernel for support for the aes-cbc-essiv:sha256 cipher spec and verify that /dev/md1 contains at least 133 sectors
~~~

Cela signifie probablement que le module noyau *Device Mapper* n'est pas chargé :

~~~
# modprobe dm-mod
~~~

## Notes sur les algorithmes de chiffrement

Pour utiliser un algorithme de chiffrement spécifique, il faut le préciser au moment de la création de la partition :

~~~
#  cryptsetup --verbose --cipher=aes-cbc-essiv:sha256 --verify-passphrase luksFormat /dev/md7
~~~

Le chiffrement **aes-cbc-essiv** est le chiffrement par défaut de _cryptsetup_ pour les noyaux supérieurs au 2.6.10 car il corrige une vulnérabilité potentielle du chiffrement _aes-cbc-plain_. Une autre méthode de chiffrement utilisée avec l'algorithme AES (Rijndael) est le mode XTS, qui est réputé plus résistant aux attaques par watermarking, mais nécessite un module spécifique (judicieusement nommé _xts_) et une clef d'initialisation du double de la taille de la clef finale (voir <http://en.wikipedia.org/wiki/Disk_encryption_theory#XEX-based_tweaked-codebook_mode_with_ciphertext_stealing_.28XTS.29)>

Les autres algorithmes dignes d’intérêt sont _twofish_ et _serpent_, deux compétiteurs de l'AES face à Rijndael.