Практикум dm-crypt (LUKS, cryptsetup), дополнение

Небольшое дополнение к заметке про dm-crypt (LUKS, cryptsetup).

При использовании LUKS, в частности через cryptsetup, необходимо иметь в виду следующую особенность.
LUKS требует наличия хидера на криптованном разделе и как следствие, возникает необходимость резервировать этот хидер, ибо при его повреждении раскодировать данные с раздела будет невозможно.
Вторым следствием наличия хидера можно назвать очевидность (для атакующих) применения криптосредства. То есть специалист, анализирующий диск, почти мгновенно узнает, что раздел зашифрован и чем он зашифрован. Останется только выбить ключ.
Причем в некоторых государствах, не соблюдающих права человеков, органы могут потребовать у вас ключ и вы будете обязаны его выдать.

Кстати, про резервную копию хидера. Имея на руках копию хидера, можно вынуть из него ключ методом брутфорса. Поэтому очень важно выбирать правильные ключи и защищать резервные копии хидера.

Чтобы избавиться от наличия хидера, можно применить метод 'plain' для cryptsetup. Тогда, фактически, LUKS (и его полезняшки) использоваться не будет.

Подробнее читайте тут.