Cifrar un volumen de datos con LUKS2: formatear, abrir, crypttab y qué implica perder la cabecera

Objetivo

Cifrar una partición de datos que no sea la raíz con LUKS2, montarla automáticamente en el arranque y hacer una copia de seguridad del único elemento de estado que no se puede recrear: la cabecera LUKS.

Requisitos previos

Permisos de root y cryptsetup instalado. Una partición o dispositivo de bloques que no contenga datos que deban conservarse sin cifrar (luksFormat sobrescribe el área que usa la cabecera y destruye cualquier firma de sistema de archivos previa que haya allí).

Pasos

1. Formatee el dispositivo como volumen LUKS2: cryptsetup luksFormat --type luks2 /dev/sdb1. De forma predeterminada pide confirmación (escriba YES) y una contraseña de forma interactiva; para una ejecución no interactiva añada --batch-mode y --key-file=/path/to/keyfile, y restrinja de inmediato los permisos de ese archivo (chmod 600).
2. Haga una copia de seguridad de la cabecera antes de escribir datos: cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file /root/sdb1-luks-header.img. Guarde este archivo en un lugar distinto del propio dispositivo cifrado (si la cabecera se pierde o se corrompe, los datos son irrecuperables aunque se conozca la contraseña correcta, porque la cabecera contiene la clave maestra cifrada). Protéjalo como si fuera una clave: sigue abriendo el volumen con cualquier contraseña que fuera válida en el momento de la copia, incluso si esa contraseña se elimina después.
3. Abra el volumen para obtener un dispositivo mapeado utilizable: cryptsetup luksOpen /dev/sdb1 data1 (crea /dev/mapper/data1); formatee y monte ese dispositivo mapeado como de costumbre, no la partición sin procesar.
4. Añada una ranura de clave adicional para una segunda contraseña o un archivo de clave antes de depender de una sola: cryptsetup luksAddKey /dev/sdb1 /path/to/keyfile. LUKS2 admite varias ranuras de clave, de modo que perder una contraseña no obliga a volver a cifrar, siempre que se conozca la credencial de al menos una ranura.
5. Para el desbloqueo automático en el arranque, añada una línea a /etc/crypttab: data1 /dev/disk/by-uuid/<uuid> /path/to/keyfile luks. Los cuatro campos de crypttab son el nombre mapeado, el dispositivo subyacente, el archivo de clave (o none para que se pida la contraseña de forma interactiva en el arranque) y las opciones; luks en las opciones indica a las herramientas del arranque que esperen un volumen LUKS y no un dm-crypt plano. Un archivo de clave en un sistema de archivos raíz sin cifrar desbloquea el volumen de datos para cualquiera que tenga acceso a los discos de la máquina; manténgalo con chmod 600 en una raíz cifrada. Añada nofail en crypttab y fstab si el host debe arrancar igualmente cuando no se pueda desbloquear el volumen.
6. Añada el dispositivo mapeado a /etc/fstab usando /dev/mapper/data1. mount -a solo prueba fstab; pruebe la línea de crypttab antes de reiniciar con systemctl daemon-reload y systemctl start systemd-cryptsetup@data1.service (Debian también ofrece cryptdisks_start data1).

Resultado esperado

cryptsetup status data1 muestra el mapeo activo con el cifrado LUKS2 en uso; tras reiniciar, el volumen se activa automáticamente si crypttab y el archivo de clave están en su sitio; de lo contrario, se pide la contraseña en el arranque.

Límites y base de verificación

Verificado con cryptsetup(8) (luksFormat, luksHeaderBackup, ranuras de clave) y crypttab(5) (formato de cuatro campos). Nada de lo aquí descrito permite recuperar una contraseña perdida si no hay otra ranura de clave, ni un dispositivo cuya cabecera esté dañada y nunca se haya respaldado; el proyecto cryptsetup declara ambos casos irrecuperables por diseño, y no solo incómodos.