Шифрование дисков: LUKS и BitLocker для небольшой компании

Потерянный ноутбук, списанный диск, украденная копия базы: во всех этих случаях шифрование превращает утечку данных в потерю железа. Оно не защищает от компрометации работающей системы, но закрывает самые частые бытовые сценарии. Ниже порядок для небольшой компании: что шифровать, как включить LUKS на Linux и BitLocker на Windows, как не потерять ключи и как проверить результат.

Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Команды разрушительны для данных на выбранном диске: проверяйте их на тестовой машине. Требования к криптографическим средствам для персональных данных и государственных систем определяются отдельными нормативными документами (ФСБ России, ФСТЭК), согласуйте их с профильным специалистом.

Что шифровать

Где	Зачем	Чем
Ноутбуки и мобильные устройства	Потеря или кража	BitLocker (Windows), LUKS (Linux), встроенное шифрование macOS и мобильных систем
Серверы с данными	Списание диска, физический доступ, гипервизор	LUKS или шифрование на уровне хранилища и гипервизора
Резервные копии	Копии лежат вне основной защиты	Шифрование средствами программы копирования: Borg Backup, копирование 3-2-1
Каналы передачи	Перехват в сети	TLS для сервисов: SSL в nginx; VPN: WireGuard
Съёмные носители	Потеря флешек и дисков	Шифрование носителя перед записью данных

Шифрование диска защищает «в покое»: после загрузки и ввода ключа система видит данные в открытом виде, поэтому вредоносное ПО и администратор их видят. Права доступа, обновления и мониторинг остаются обязательными.

Linux: LUKS для дополнительного диска или раздела

LUKS шифрует блочное устройство, поверх которого создаётся файловая система. Пример для нового пустого диска /dev/sdX (замените имя, проверьте командой lsblk). Риск: luksFormat уничтожает все данные на устройстве.

lsblk -f
sudo cryptsetup luksFormat /dev/sdX
sudo cryptsetup open /dev/sdX secure_data
sudo mkfs.ext4 /dev/mapper/secure_data
sudo mkdir -p /srv/secure
sudo mount /dev/mapper/secure_data /srv/secure

Что должно получиться: после ввода парольной фразы устройство открывается как /dev/mapper/secure_data и монтируется. Без парольной фразы доступ к содержимому невозможен. Закрыть: sudo umount /srv/secure и sudo cryptsetup close secure_data.

Сделайте резервную копию заголовка LUKS и храните её отдельно от диска: повреждение заголовка делает данные невосстановимыми.

sudo cryptsetup luksHeaderBackup /dev/sdX --header-backup-file /root/luks-header-sdX.img
sudo cryptsetup luksDump /dev/sdX

Для автоматического открытия при загрузке сервера используют файл /etc/crypttab и /etc/fstab. Если ключ хранится на самом сервере, защита сводится к случаю кражи диска отдельно от сервера; для критичных данных используйте ввод ключа при запуске или сетевое хранилище ключей. Шифрование системного диска настраивается при установке ОС (параметр «шифровать диск» установщика); менять его на работающем сервере сложнее и требует резервной копии.

Windows: BitLocker

BitLocker шифрует системный и дополнительные диски. На ноутбуках его включают вместе с модулем TPM, в корпоративной среде ключи восстановления сохраняют в каталоге (Active Directory) централизованно. Проверка и включение (выполняйте от администратора; на системном диске нужна поддержка TPM или политика, разрешающая иной способ):

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus, EncryptionPercentage
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -RecoveryPasswordProtector
Get-BitLockerVolume -MountPoint "C:" | Select-Object -ExpandProperty KeyProtector

Что должно получиться: ProtectionStatus равно On, процент шифрования доходит до 100, у тома есть защитник ключа типа RecoveryPassword. Ключ восстановления сохраните в защищённом месте вне устройства. Для хранения в Active Directory используйте групповую политику «хранить сведения о восстановлении BitLocker в AD DS» и команду Backup-BitLockerKeyProtector. Массовое включение удобно делать групповыми политиками: hardening Windows.

Ключи: как не потерять данные

Ключи восстановления хранятся отдельно от устройства: каталог, сейф паролей, запечатанный конверт в сейфе. Устройство без ключа при сбое TPM или смене оборудования необратимо.
Доступ к ключам ограничен и журналируется; выдача ключа сотруднику проходит с проверкой личности.
Парольные фразы LUKS длинные и уникальные, лучше два слота ключей: основной и аварийный, хранимый отдельно.
Ротация при подозрении на компрометацию и при уходе сотрудника с доступом к ключам: отзыв прав при увольнении.
Копия ключей в копиях данных не хранится: ключ и зашифрованные данные не должны лежать в одном месте.

Шифрование резервных копий

Копия — те же данные в другом месте, часто с меньшей защитой. Используйте шифрование программы копирования с ключом, который хранится отдельно от хранилища копий, и обязательно проверяйте восстановление: потерянный ключ превращает копию в набор случайных байтов.

Диагностика

Симптом	Причина и что делать
Ноутбук после обновления прошивки требует ключ восстановления	Изменилась конфигурация загрузки. Введите ключ из каталога, приостановите защиту перед обновлением прошивки (`Suspend-BitLocker`)
LUKS-диск не открывается после ошибки	Повреждён заголовок. Восстановите из резервной копии заголовка: `cryptsetup luksHeaderRestore`
Нет ключа восстановления BitLocker в каталоге	Политика не включена или копия не сохранена. Включите политику и пересохраните ключи для всех устройств
Производительность упала	Редко заметно на современных процессорах с аппаратным ускорением. Проверьте поддержку AES и тип шифрования

Где это в модели зрелости

Материал относится к направлениям «Безопасность данных» и «Безопасность конечных устройств» (материалы направления, карта зрелости). Для уровня 2 по конечным устройствам диски ноутбуков должны быть зашифрованы, а для данных — передача наружу и копии защищены.

Как проверить

На всех ноутбуках Get-BitLockerVolume показывает ProtectionStatus On, а ключи восстановления найдены в каталоге.
Для серверов с данными определено, какой способ шифрования применяется, и ключи хранятся отдельно.
Резервные копии зашифрованы, пробное восстановление с ключом выполнено.
Выданный набор ключей и заголовков LUKS описан в реестре, доступ к нему ограничен.

Источники

Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
Документация cryptsetup и LUKS: gitlab.com/cryptsetup; справка по man cryptsetup для вашей версии.
Документация Microsoft по BitLocker: learn.microsoft.com.