LUKS (Linux Unified Key Setup) est le standard de chiffrement sous Linux pour chiffrer les disques.
Au passage, on dit bien chiffrer et non crypter. Vous savez pourquoi ? C’est très simple :
- Chiffrer : rendre illisible des données en utilisant une clé
- Déchiffrer : rendre lisible des données chiffrées en utilisant la clé de déchiffrement
- Décrypter : rendre lisible les données chiffrées sans connaître la clé de déchiffrement
- Crypter : serait donc rendre illisible les données sans connaître la clé, ce qui n’a aucun sens
Bref, revenons à LUKS. C’est un système assez génial qui crée un conteneur chiffré agnostique du système de fichiers qu’on met dedans. On peut donc avoir par exemple une clé USB ext4, VFAT ou NTFS chiffrée.
Le principe de fonctionnement consiste à chiffrer les données avec une unique clé aléatoire de très grande taille, qu’on va appeler MK (Master Key), et ensuite chiffrer MK avec la clé que connait l’utilisateur.
L’avantage de cette méthode est évident : si l’on veut changer la clé utilisateur qui protège le disque, on a juste à rechiffrer MK avec cette clé et non le disque entier, ce qui pourrait prendre des heures.
LUKS est prévu pour fonctionner en mode multi-utilisateurs, c’est à dire qu’il y a un entête mis sur le disque qui contient N fois la clé MK chiffrée par N utilisateurs différents. Ainsi les N utilisateurs peuvent utiliser le disque en ne connaissant que sa propre clé et jamais celle des autres.
Le chiffrement du disque en lui-même, avec la clé MK, se fait en AES 256. C’est très robuste.