Ce tipuri de encriptie cu LVM (Logical Volume Manager) sunt pe Linux?

[GAMECORE]

În sistemele Linux, utilizarea LVM (Logical Volume Manager) împreună cu criptarea se bazează aproape exclusiv pe standardul LUKS (Linux Unified Key Setup) prin intermediul dm-crypt. Deși motorul de criptare este același, există două moduri principale de a arhitectura această soluție, în funcție de nevoile tale de flexibilitate sau securitate. 

1. LVM pe LUKS (LVM on LUKS)

Aceasta este cea mai comună metodă pentru criptarea întregului disc (Full Disk Encryption). 

Cum funcționează: Întâi criptezi o partiție fizică sau un întreg disc folosind LUKS, apoi "deschizi" acel container și îl folosești ca un Physical Volume (PV) pentru LVM.
Avantaje:

• Trebuie să introduci o singură parolă la pornirea sistemului pentru a debloca toate volumele logice (root, home, swap etc.).
• Toate datele și metadatele LVM sunt protejate.

Dezavantaj: Este mai dificil să adaugi un al doilea disc fizic în același Volume Group (VG) fără a avea două containere criptate separate. 

2. LUKS pe LVM (LUKS on LVM)

Această metodă este utilizată pentru a cripta doar anumite Volume Logice (LV) specifice. 

 

Cum funcționează: Creezi volumele logice în mod obișnuit, iar apoi aplici criptarea LUKS direct pe un volum logic individual.
Avantaje:

• Flexibilitate maximă: poți avea unele volume criptate și altele nu.
• Poți folosi parole diferite pentru volume diferite.

Dezavantaj: Metadatele LVM (numele volumelor, dimensiunile) rămân vizibile pe disc, nefiind protejate de criptare. 
 

Ce recomandam in functie de scenariu? LVM on LUKS sau LUKS on LVM?

Depinde de ce vrei să obții, dar iată recomandările mele în funcție de scenariu:

Dacă instalezi un laptop sau un PC personal: Mergi pe LVM pe LUKS.
Este standardul pentru "Full Disk Encryption".
Pui o singură parolă la boot și uiți de griji; totul (sistem, date, swap) este protejat. Majoritatea installerelor (Ubuntu, Fedora, Pop!_OS) fac asta automat dacă bifezi "Encrypt" si rulezi installerul automat.

Dacă ai un server sau un PC unde vrei doar un "seif" pentru date: Alege LUKS pe LVM.
E mult mai practic dacă vrei ca sistemul să pornească singur (fără parolă la boot), dar vrei ca o anumită partiție cu date sensibile să fie încuiată și să o deschizi doar când ai nevoie.

Sfat de peer: Dacă ești la început, alege LVM pe LUKS. E mai sigur pentru că nu lasă nicio urmă (metadatele LVM sunt și ele criptate) și e metoda "set it and forget it".

 

Exemplu practic pentru Arch Linux (daca avem archeri pe aici):

Pentru Arch Linux, alegerea depinde de modul în care preferi să instalezi sistemul, dar LVM pe LUKS este varianta dominantă în ambele cazuri.

1. Instalarea Automată (folosind archinstall)

Dacă folosești scriptul oficial archinstall, acesta suportă ambele scenarii, dar cu o preferință clară:

• LVM pe LUKS: Este configurarea "default" atunci când alegi opțiunea de criptare a întregului disc cu LVM. Este cea mai simplă cale de a avea un sistem complet securizat, unde introduci parola o singură dată.
• LUKS pe LVM: Deși scriptul a devenit tot mai flexibil, configurarea individuală a fiecărui volum logic (LV) este mai degrabă o opțiune avansată în meniul de partitionare manuală al scriptului, nu o setare automată "one-click". 

2. Instalarea Manuală (The Arch Way)

Aici ai libertate totală, dar efortul diferă:
LVM pe LUKS (Recomandat): Majoritatea ghidurilor și Arch Wiki recomandă această variantă. https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system

• Configurare: Criptezi o singură partiție (cryptsetup luksFormat), o deschizi, și apoi creezi grupurile de volume în interiorul ei.
• Avantaj: Trebuie să configurezi un singur "hook" de criptare în mkinitcpio.conf și o singură intrare în bootloader.

Exemplu practic:

    nano /etc/mkinitcpio.conf
        la HOOKS intre block si filesystems adaugam cuvantul encrypt si lvm2: encrypt lvm2
        salvam fisierul (CTRL+O Save file + ENTER si CTRL+X inchide fisierul)

    mkinitcpio -p linux                sa vedem daca apare in output encrypt si lvm2 si suntem criptati
    mkinitcpio -p linux-lts # adaugam si pe linux-lts daca il avem instalat in cazul in care esueaza cel principal

 

LUKS pe LVM: Este mult mai laborios manual.

• Configurare: Trebuie să creezi volumele LVM pe discul "gol", apoi să criptezi manual fiecare volum logic în parte.
• Dezavantaj: La boot, sistemul ar putea să-ți ceară parola pentru fiecare volum în parte (root, home, swap) dacă nu configurezi chei secundare (keyfiles) pentru a le debloca automat pe celelalte.

Dacă vrei să scapi repede, folosește archinstall cu criptare LVM; acesta va seta automat un layout de tip LVM pe LUKS. Este mult mai ușor de întreținut, mai sigur (ascunde tot layout-ul discului) și necesită o singură parolă.

 

Surse bibliografice si documentatie

• https://www.linux.com/training-tutorials/how-full-encrypt-your-system-lvm-luks-cli/#:~:text=How to full encrypt your,luks from cli - Linux.com
• https://4sysops.com/archives/encrypt-linux-lvm-with-linux-unified-key-setup-luks-using-cockpit/#:~:text=Encrypt Linux LVM with Linux,(LUKS) using Cockpit – 4sysops
• https://www.reddit.com/r/archlinux/comments/358pll/luks_on_lvm_vs_lvm_on_luks_which_would_be_best/?tl=ro#:~:text=În sfârșit%2C ceva ce știu! Am scris,am menționat%2C nu ai nevoie de LVM…
• https://www.linux.com/training-tutorials/how-full-encrypt-your-linux-system-lvm-luks/#:~:text=How to full encrypt your,lvm on luks - Linux.com
• https://www.linux.com/training-tutorials/how-full-encrypt-your-system-lvm-luks-cli/#:~:text=How to full encrypt your,luks from cli - Linux.com
• https://medium.com/@chandana_33332/howto-setup-a-luks-encrypted-drive-with-lvm-on-linux-f33465383bb8#:~:text=That si it.,make sure it all works!.
• https://wiki.alpinelinux.org/wiki/LVM_on_LUKS#:~:text=LVM on LUKS - Alpine Linux
• https://wiki.archlinux.org/title/Data-at-rest_encryption
• https://askubuntu.com/questions/109898/how-to-change-the-password-of-an-encrypted-lvm-system-previously-alternate-inst
• https://www.quora.com/What-are-the-benefits-of-using-a-LVM-encrypted-volume-over-an-encrypted-home-directory
• https://4sysops.com/archives/encrypt-linux-lvm-with-linux-unified-key-setup-luks-using-cockpit/#:~:text=Encrypt Linux LVM with Linux,(LUKS) using Cockpit – 4sysops
• https://serverfault.com/questions/153552/linux-encryption-of-a-physical-lvm-volume-doesnt-imply-encryption-of-its-logic
• https://www.youtube.com/watch?v=MeltFN-bXrQ&t=880&themeRefresh=1
• https://askubuntu.com/questions/109898/how-to-change-the-password-of-an-encrypted-lvm-system-previously-alternate-inst
• https://www.sakana.fr/blog/2012/04/17/linux-encrypted-lvm-quick-and-easy-howto-2/#:~:text=A word of caution * Cryptsetup. * Encryption. * Lvm.
• https://4sysops.com/archives/encrypt-linux-lvm-with-linux-unified-key-setup-luks-using-cockpit/#:~:text=Encrypt Linux LVM with Linux,(LUKS) using Cockpit – 4sysops
• https://www.reddit.com/r/archlinux/comments/10d6iqk/are_there_any_trustable_install_guides_especially/#:~:text=It's a fairly reliable officially,well as your mkinitcpio hooks.
• https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system#:~:text=achieves partitioning flexibility by using,is activated during system boot.
• https://github.com/rickellis/Arch-Linux-Install-Guide#:~:text=README-,Installing Arch Linux on a LUKS Encrypted Drive using LVM,modern replacement for Legacy BIOS.
• https://www.youtube.com/watch?v=kD3WC-93jEk
• https://gist.github.com/mjnaderi/28264ce68f87f52f2cabb823a503e673?permalink_comment_id=5965043#:~:text=Entering Your Password Only Once,sd-encrypt hooks are enabled.&text=Configure the bootloader.,get your LUKS partition UUID.
• https://www.youtube.com/watch?v=s3qyjl9w930
• https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system#:~:text=If you have several LVM,is activated during system boot.
• https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system#:~:text=Secure Boot keys.-,LVM on LUKS,scanned and mounted during boot.&text=Note While using the encrypt,all on a USB device.
• https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system#:~:text=achieves partitioning flexibility by using,is activated during system boot.
• https://en.wikipedia.org/wiki/Linux_Unified_Key_Setup#:~:text=LUKS with LVM,-Logical Volume Management&text=When LVM is used on,until the disk is decrypted.
• https://tonisagrista.com/blog/2020/arch-encryption/

Edited April 1 by GAMECORE