cryptsetup ile Disk Şifreleme

Giriş ve neden önemli
Günümüzde sandıktaki verilerimiz artık çoğunlukla fiziksel olarak erişilebilir depolarda saklanıyor. Disk şifreleme, kaybolan ya da çalınan bir diskte dahi verilerin yetkisiz kişilerce okunmasını engellemek için kritik bir güvenlik katmanı sunar. Linux ekosisteminde bu iş için en yaygın kullanılan araçlardan biri cryptsetup’tır ve temel olarak dm-crypt ile çalışır. Bu yazıda, temel kurulumdan günlük kullanım senaryolarına kadar adım adım, pratik ve güvenli bir yaklaşımı paylaşacağım.

1) Temel kavramlar ve ön hazırlık

• dm-crypt: Linux çekirdeği üzerinde şifreli blok aygıtlarını yöneten altyapı. Şifreleme modu olarak çoğunlukla Luks kullanılır; bu, kırılması güç ve kolay yönetilebilir anahtarlar sağlar.
• luksFormat ve luksOpen: LUKS ile şifreleme için anahtar yapısını kurar ve kilitli hacmi açar.
• /etc/crypttab ve /etc/fstab: Sistem açılışı sırasında otomatik olarak şifreli hacimlerin bağlanmasını sağlar.

Öneri: harici bir disk veya tam disk şifrelemesi düşünülüyorsa luksFormat ile boş bir hacmi güvenli bir şekilde başlatın ve karmaşık bir passphrase seçin.

2) Temel adımlar (örnek senaryo: /dev/sdb1 bölümü şifreleniyor)

1. Alanı kontrol edin:

• lsblk ve cryptsetup benchmark ile donanımınıza uygun performansı yakalayın.

1. LUKS ile şifreleme oluşturun:

• cryptsetup luksFormat /dev/sdb1
• Bu işlem veri üzerinde geri dönüşü olmayan değişiklikler yaratır; önemli verinizi yedekleyin ve güvenli bir passphrase belirleyin.

1. Şifreli hacmi açın:

• cryptsetup open /dev/sdb1 crypt-disk

1. Dosya sistemi oluşturun:

• mkfs.ext4 /dev/mapper/crypt-disk

1. Sistem bağlama ve otomatik başlatma:

• mount /dev/mapper/crypt-disk /mnt/crypto
• /etc/crypttab’a: crypt-disk /dev/sdb1 none luks
• /etc/fstab’a: /dev/mapper/crypt-disk /mnt/crypto ext4 defaults 0 2

1. Otomatik açılışı güvenli kılma:

• BIOS/UEFI güvenli önyükleme ile birlikte akıllı kart veya parola tabanlı senaryoları düşünün; ancak dizüstü bilgisayarlarda otomatik açılış risklidir.

3) Günlük yönetim ve güvenlik ipuçları

• Anahtar yönetimi: LUKS anahtarını yedeklemek için luksBackup veya keyfile kullanımı. Anahtar dosyasını güvenli bir yerde saklayın ve yetkisiz erişimi engelleyin.
• Güncelleme ve yama: cryptsetup sürümünüzü güncel tutun; zayıf modlar veya güvenlik açıklarına karşı dikkatli olun.
• Performans: XTS-AES gibi modern şifreleme modları performansı etkileyebilir; hardware-accelerated AES desteği varsa bu değerleri dikkate alın.
• Yedekleme stratejisi: Şifreli hacimi yedeklerken, şifrelenmiş durumdaki verinin güvenliğini sağlamak için anahtar dosyalarını ayrı bir güvenli yerde bulundurun.
• Fiziksel güvenlik: Diskin bağlandığı donanım tarafında da güvenlik önemli; USB güvenlik anahtarları veya TPM tabanlı çözümler düşünülebilir.

4) Karşılaşılan yaygın sorunlar ve çözümler

• Şifreyi unutmak: LUKS anahtarınızı kaybettiğinizde veri kurtarma neredeyse imkânsızdır. Bu nedenle yedek anahtarlar ve güvenli bir yedekleme planı kesinlikle gerekir.
• Yanıt vermeyen sistem açılışı: crypttab ve fstab arasındaki uyumsuzluklar veya yanlış cihaz isimleri boot sürecini durdurabilir. UUID kullanımı güvenli ve dayanıklıdır.
• Performans darboğazı: eski donanımda AES hızları sınırlı olabilir; modern CPU’larda donanım hızlandırması ile belirgin farklar görebilirsiniz.

Kapanış
Disk şifrelemesi, verinin fiziken ele geçirilmesi durumunda bile korunabilirliğini önemli ölçüde artırır; doğru planlandığında yönetilebilir ve güvenli bir çözümdür. Bu konudaki deneyimleriniz veya kullanılan farklı konfigürasyonlar için pratik ipuçlarınızı paylaşabilirsiniz.