Comment chiffrer des fichiers, dossiers et disques sous Linux

Comment chiffrer des fichiers avec OpenSSL sous Linux

Pour chiffrer des fichiers sous Linux avec OpenSSL, nous allons appliquer les options suivantes, recommandées pour une sécurité renforcée :

• -aes-256-cbc : Utilise l’algorithme AES avec une clé de 256 bits en mode Cipher Block Chaining (CBC) pour un chiffrement robuste.
• -pbkdf2 : Emploie l’algorithme PBKDF2 pour dériver une clé sécurisée à partir du mot de passe, améliorant la résistance aux attaques par force brute.
• -iter 200000 : Spécifie 200 000 itérations pour PBKDF2, augmentant le coût computationnel d’une tentative de force brute.
• -md sha256 : Utilise SHA-256 comme algorithme de hachage pour la dérivation de clé, garantissant une génération de clé sécurisée.
• -salt : Ajoute un sel aléatoire pour se protéger contre les attaques par tables arc-en-ciel.

🔐 Exemple : chiffrement de secrets.txt en secrets.txt.enc :

user@host:~$ openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -md sha256 -salt -in secrets.txt -out secrets.txt.enc
enter AES-256-CBC encryption password:JohnWeakP@sswd:)
Verifying - enter AES-256-CBC encryption password:JohnWeakP@sswd:)

🔓 Exemple : déchiffrement de secrets.txt.enc en secrets.txt :

user@host:~$ openssl enc -d -aes-256-cbc -pbkdf2 -iter 200000 -md sha256 -salt -in secrets.txt.enc -out secrets.txt
enter AES-256-CBC decryption password:JohnWeakP@sswd:)

Comment chiffrer des fichiers avec GnuPG sous Linux

Une autre façon de chiffrer des fichiers sous Linux consiste à utiliser GnuPG avec un chiffrement symétrique :

• --symmetric : Chiffre avec un algorithme symétrique en utilisant une phrase de passe.
• --s2k-cipher-algo AES256 : Définit AES-256 comme algorithme de chiffrement symétrique.
• --s2k-digest-algo SHA512 : Utilise SHA-512 comme algorithme de hachage pour la dérivation de clé.
• --s2k-count 65536 : Applique 65 536 itérations pour renforcer la phrase de passe contre les attaques par force brute.

🔐 Exemple : chiffrer le fichier secrets.txt en secrets.txt.gpg :

user@host:~$ gpg --symmetric --s2k-cipher-algo AES256 --s2k-digest-algo SHA512 --s2k-count 65536 -o secrets.txt.gpg secrets.txt

🔓 Exemple : déchiffrer secrets.txt.gpg pour retrouver secrets.txt :

user@host:~$ gpg --output secrets.txt --decrypt secrets.txt.gpg

Comment créer et initialiser un conteneur de fichiers chiffré sous Linux

La première étape consiste à créer un conteneur chiffré sous Linux à l’aide de dd. Un conteneur est simplement un fichier classique qui sera ensuite formaté et monté comme un disque virtuel.

• Dans cet exemple, nous créons un fichier nommé container dans le répertoire racine (/container). Sa taille est de 1 Gio et il est rempli de données aléatoires afin d’assurer la sécurité :

root@host:~# dd if=/dev/urandom of=/container bs=1M count=1024 iflag=fullblock status=progress

Ensuite, nous devons configurer un périphérique loop. Un périphérique loop sous Linux permet d’associer un fichier classique (comme notre conteneur) à un périphérique bloc virtuel, le faisant ainsi se comporter comme un véritable disque.

• Vérifiez le premier périphérique loop disponible :

root@host:~# losetup -f

• Associez le fichier container au périphérique loop /dev/loop0 :

root@host:~# losetup /dev/loop0 /container

• Installez le paquet cryptsetup, qui fournit les outils de chiffrement LUKS :

root@host:~# apt update && apt install cryptsetup

• Formatez le périphérique loop avec LUKS pour initialiser le chiffrement :

root@host:~# cryptsetup luksFormat /dev/loop0
WARNING!
========
This will overwrite data on /dev/loop0 irrevocably.

Are you sure? (Type 'yes' in capital letters): YES
Enter passphrase for /container:JohnWeakP@sswd:)
Verify passphrase:JohnWeakP@sswd:)

• Ouvrez (déchiffrez) le périphérique loop avec LUKS et mappez-le vers un périphérique virtuel nommé decrypted_container :

root@host:~# cryptsetup luksOpen /dev/loop0 decrypted_container
Enter passphrase for /container:JohnWeakP@sswd:)

• Formatez le nouveau conteneur avec le système de fichiers de votre choix (ici ext4) :

root@host:~# mkfs.ext4 /dev/mapper/decrypted_container

• Une fois terminé, fermez le périphérique LUKS et détachez le périphérique loop :

root@host:~# cryptsetup luksClose /dev/mapper/decrypted_container

root@host:~# losetup -d /dev/loop0

Votre conteneur chiffré est maintenant créé, formaté et prêt à être utilisé sous Linux.

Comment monter le conteneur chiffré et copier des fichiers sous Linux

Voyons maintenant comment monter et utiliser le conteneur chiffré que nous avons créé précédemment.

• Vérifiez le premier périphérique loop disponible :

root@host:~# losetup -f

• Associez le fichier container au périphérique loop /dev/loop0 :

root@host:~# losetup /dev/loop0 /container

• Déverrouillez le périphérique loop avec LUKS et mappez-le vers decrypted_container :

root@host:~# cryptsetup luksOpen /dev/loop0 decrypted_container
Enter passphrase for /container:JohnWeakP@sswd:)

• Montez le conteneur déchiffré sur /mnt/container :

root@host:~# mkdir -p /mnt/container; mount /dev/mapper/decrypted_container /mnt/container

• Vous pouvez maintenant utiliser /mnt/container comme n’importe quel périphérique monté. Par exemple, copiez-y un fichier :

root@host:~# cp file.txt /mnt/container/