LUKS (Linux Unified Key Setup) est le standard de chiffrement sous Linux pour chiffrer les disques.

Au passage, on dit bien chiffrer et non crypter. Vous savez pourquoi ? C’est très simple :

• Chiffrer : rendre illisible des données en utilisant une clé
• Déchiffrer : rendre lisible des données chiffrées en utilisant la clé de déchiffrement
• Décrypter : rendre lisible les données chiffrées sans connaître la clé de déchiffrement
• Crypter : serait donc rendre illisible les données sans connaître la clé, ce qui n’a aucun sens

Bref, revenons à LUKS. C’est un système assez génial qui crée un conteneur chiffré agnostique du système de fichiers qu’on met dedans. On peut donc avoir par exemple une clé USB ext4, VFAT ou NTFS chiffrée.

Le principe de fonctionnement consiste à chiffrer les données avec une unique clé aléatoire de très grande taille, qu’on va appeler MK (Master Key), et ensuite chiffrer MK avec la clé que connait l’utilisateur.

L’avantage de cette méthode est évident : si l’on veut changer la clé utilisateur qui protège le disque, on a juste à rechiffrer MK avec cette clé et non le disque entier, ce qui pourrait prendre des heures.

LUKS est prévu pour fonctionner en mode multi-utilisateurs, c’est à dire qu’il y a un entête mis sur le disque qui contient N fois la clé MK chiffrée par N utilisateurs différents. Ainsi les N utilisateurs peuvent utiliser le disque en ne connaissant que sa propre clé et jamais celle des autres.

Le chiffrement du disque en lui-même, avec la clé MK, se fait en AES 256. C’est très robuste.

Tuto 1 pour chiffrer une clé USB

La méthodé courte est rapide pour chiffrer une clé USB consiste à utiliser l’utilitaire cryptsetup

sudo apt install cryptsetup

# Si la clé USB est sur /dev/sdb (ne pas se tromper !!!)
sudo cryptsetup luksFormat /dev/sdb
sudo cryptsetup open /dev/sdb ma_cle_usb
sudo mkfs.ext4 /dev/mapper/ma_cle_usb # Pour créer par exemple un système de fichier ext4
sudo mount /dev/mapper/ma_cle_usb /media/usb_chiffree

# Sauvegarder l'en-tête (À FAIRE ABSOLUMENT)
sudo cryptsetup luksHeaderBackup /dev/sdb --header-backup-file ~/sauvegarde_luks.img

# Fermer
sudo umount /media/usb_chiffree
sudo cryptsetup close ma_cle_usb

# Rouvrir plus tard
sudo cryptsetup open /dev/sdb ma_cle_usb
sudo mount /dev/mapper/ma_cle_usb /media/usb_chiffree

Tuto 2 pour chiffrer une clé USB – La méthode graphique sous Ubuntu

Pour les débutants, c’est une méthode beaucoup plus sympa.

Tout d’abord ouvrons le gestionnaire de disques (il aura une autre icône car ici le PC utilisé pour écrire le tuto utilise les icônes Mac pour gagner en convivialité)

Dans le gestionnaire de disques, sélectionnons la clé USB (ici c’est une vieille clé de 8 Go)

Supprimons la partition existante en la selectionnant et en cliquant sur le bouton –

Une fois que tout l’espace est disponible, on va créer une nouvelle partition en cliquant sur le bouton +

On prend toute la place disponible sur la clé USB

On met un nom de volume et on choisit « Autre » comme type

Puis on choisit « No Filesystem » et surtout on coche « Volume protégé par mot de passe (LUKS) »

On met un mot de passe fort, qu’on confirme

On clique sur Créer et on patiente un peu car la création prend un peu de temps. On se retrouve alors avec 2 partitions : la première est le conteneur chiffré marqué LUKS

La deuxième partition est vide et correspond à un périphérique /dev/mapper/luks-xxxx

Il faut maintenant formater avec le système de fichier de son choix la deuxième partition, celle qui correspond à /dev/mapper/luks-xxxx. Pour cela, il faut la sélectionner et cliquer sur les roues dentées pour faire apparaître le menu permettant le formatage

Ici nous allons par exemple choisir un système de fichier VFAT

On confirme et le formatage se fait

On quitte le gestionnaire de disque, on éjecte la clé.

Utilisation de la clé chiffrée sous Ubuntu

Sous Ubuntu l’utilisation est très simple puisqu’il suffit d’insérer la clé dans le port USB pour que le menu nous invitant à saisir le mot de passe de déchiffrement s’affiche

Si le mot de passe entré est le bon, la clé est automatiquement montée et l’on peut copier des fichiers dessus, ils sont chiffrés à la volée