Después de escuchar historias de portátiles robados para conseguir información confidencial de empresas, es más que evidente que no parece suficiente con proteger nuestro ordenador mediante configuraciones adecuadas, buenas contraseñas, firewalls, etc… sino que debemos ir un paso más allá e encriptar la información en nuestro disco duro. De esta forma, si alguien se hiciese con el y lo conectase a otro ordenador seria incapaz de extraer ningún tipo de información.

Por otro lado, es necesario poder combinar esa seguridad con comodidad para el usuario, el cual no quiere tener que recordar que debe cifrar unos datos determinados siguiendo una serie de pasos (por ejemplo utilizando gnupg). De ahí que la solución más acertada es la creación de una partición encriptada, la cual se montará automáticamente al hacer login el usuario (el password de la partición y el del usuario serán los mismos).

Para este objetivo utilizaremos Luks, aplicación que nombre de pasada en la guía sobre Ubuntu Edgy (sección “Encriptación de memorias USB”). Lo primero que necesitamos es una partición en nuestro disco duro disponible para guardar allí el directorio de nuestro usuario (e.g. “/home/usuario”), para ello podríamos utilizar gparted desde su liveCD pare redimensionar particiones existentes/crear nuevas particiones/etc…

Una vez tengamos una partición disponible (por ejemplo personalmente me he creado una de 15 GB), seguiremos los siguientes pasos desde nuestra Ubuntu:

1. Instalamos las aplicaciones necesarias:

   sudo apt-get install cryptsetup libpam-mount initramfs-tools
   

2. Cargamos los modulos criptográficos:

   sudo modprobe dm_crypt
   sudo modprobe sha256
   sudo modprobe aes_i586
   

3. Formatemos la partición (por ejemplo /dev/hda6) y le asignamos un password (el cual debe ser igual al del usuario):

   sudo luksformat -t ext3 /dev/sdb4
   

   Si os da algún error extraño, fijaros bien porque cuando nos pregunta si estamos seguros debemos escribir YES en mayúsculas.

4. Montamos la partición en “/tmp/crypthome”:

   sudo cryptsetup luksOpen /dev/hda6 crypthome
   mkdir /tmp/crypthome && sudo mount /dev/mapper/crypthome /tmp/crypthome
   

5. Editamos ‘/etc/security/pam_mount.conf’ y añadimos al final (indicando nuestro usuario y partición real):

   volume usuario crypt - /dev/hda6 /home/usuario exec,fsck,nodev,nosuid - -
   

6. Editamos ‘/etc/pam.d/login’, ‘/etc/pam.d/gdm’ y ‘/etc/pam.d/ssh’ (si existe) para añadir al final:

   @include common-pammount
   

7. Los siguientes 2 puntos los haría desde una terminal “pura” (CTRL+ALT+F1)y no desde nuestro escritorio gráfico (ALT+F7 para volver al entorno gráfico) para no perder configuraciones que no hayan sido guardadas aun por gconf, evolution o alguno de estos procesos.

   Copiamos todos los datos actuales de nuestro usuario a la nueva partición y nos aseguramos que el propietario sea el propio usuario:

   sudo cp -avx /home/usuario/* /tmp/crypthome
   sudo chown -R usuario:usuario /tmp/crypthome
   sudo umount /tmp/crypthome
   sudo cryptsetup luksClose crypthome
   

8. Y en este punto ya lo tenemos todo preparado para hacer el cambio, podríamos mover nuestro home para eliminarlo más tarde (cuando hayamos comprobado que todo funciona correctamente):

   cd
   cd ..
   sudo mv usuario usuario.old
   sudo mkdir usuario
   sudo chown usuario:usuario usuario
   

   Y reiniciamos nuestro ordenador.

   sudo shutdown -r now
   

A partir de ahora, todos los datos que guardemos en nuestra partición del usuario estarán protegidos contra robos y accesos físicos directos 🙂 La partición se montará automáticamente al hacer login gráfico, por consola o ssh. De todas formas debemos ser conscientes de la importancia de tener un password fuerte, dado que la raiz no esta encriptada… si alguien robase nuestro disco duro tendria acceso al ‘/etc/shadow’, lugar donde se almacenan los passwords encriptados y podrían ser sometidos a un ataque de fuerza bruta con john the ripper por ejemplo.

Podríamos llegar a encriptar toda la partición raiz ‘/’ y la memoria swap para conseguir un máximo nivel de seguridad, en una Ubuntu Dapper lo llegué a probar y me funcionó muy bien… la única pega era que me pedía el password justo después de cargarse el grub y para un sistema multiusuario es incomodo. Si alguien se anima a probarlo en Edgy le invito a que siga la misma página que me ha servido de guía para este post y nos cuente su experiencia 🙂

Actualización Modificada la linea que se añade al fichero ‘/etc/security/pam_mount.conf’ para que se pase el fsck cada vez que sea requerido.