Jak zaszyfrować partycję lub dysk w Linuksie

Szyfrowanie partycji lub całego dysku w Linuksie najwygodniej wykonasz za pomocą LUKS + cryptsetup lub graficznie w narzędziu Gnome Disks (Dyski). Poniższy poradnik pokazuje obie metody, omawia przygotowanie kopii zapasowej, dobór algorytmów, konfigurację automatycznego montowania oraz najczęstsze problemy.

1. Po co szyfrować dysk w Linuksie?

Szyfrowanie blokowe, np. LUKS (Linux Unified Key Setup), zabezpiecza dane „w spoczynku”: jeśli ktoś wyjmie dysk lub ukradnie laptopa, nie odczyta ich bez hasła lub klucza. To kluczowy element ochrony prywatności i zgodności z wymaganiami bezpieczeństwa.

Najczęstsze scenariusze szyfrowania to:

• tylko jedna partycja z danymi (np. /home, /data),
• cały dysk systemowy (pełne szyfrowanie) z prośbą o hasło przy starcie,
• zewnętrzny dysk lub pendrive (mobilne nośniki),
• ochrona danych firmowych/RODO na laptopach służbowych.

2. Zasady bezpieczeństwa przed szyfrowaniem

Przed rozpoczęciem upewnij się, że spełniasz poniższe warunki:

• Kopia zapasowa danych – szyfrowanie prawie zawsze wymaga formatowania; zrób pełny backup na inny dysk/NAS/chmurę i sprawdź jego odczyt;
• Identyfikacja dysków/partycji – użyj lsblk lub fdisk -l, zwróć uwagę na nazwy typu /dev/sda, /dev/sdb, /dev/nvme0n1 i partycje /dev/sda1 itp.;
• Aktualny system i narzędzia – wykonaj sudo apt update && sudo apt upgrade oraz zainstaluj cryptsetup i opcjonalnie GUI: sudo apt install cryptsetup gnome-disk-utility;
• Świadomość konsekwencji – zapomniane hasło oznacza trwałą utratę danych; hasła/klucze przechowuj w menedżerze haseł i (dla pewności) w formie papierowej w sejfie.

3. Szyfrowanie partycji/dysku przez GUI – Gnome Disks (Dyski)

Dla użytkowników desktopowych najprostsza metoda to Gnome Disks (Dyski). Narzędzie prowadzi krok po kroku i minimalizuje ryzyko pomyłek.

3.1. Instalacja Gnome Disks

Na Ubuntu/Mint/Debian zainstalujesz pakiet tak:

sudo apt install gnome-disk-utility

Następnie uruchom aplikację Dyski z menu systemowego.

3.2. Szyfrowanie pojedynczej partycji (np. /data)

Wykonaj poniższe kroki w celu zaszyfrowania wybranej partycji:

1. Zrób i zweryfikuj backup danych z tej partycji.
2. Uruchom Dyski i w lewym panelu wybierz właściwy nośnik.
3. W dolnym panelu wskaż docelową partycję, kliknij ikonę kół zębatych i wybierz „Formatuj partycję…”.
4. W oknie formatowania wybierz „Erase”: szybkie nienadpisywanie (szybciej, lecz mniej prywatnie) lub wolne nadpisywanie zerami (wolniej, lecz dokładniej).
5. W polu „Type” wybierz „Dysk wewnętrzny do użycia wyłącznie z systemem Linux (Ext4)” oraz zaznacz szyfrowanie LUKS.
6. Ustaw silne hasło szyfrowania (min. 12–16 znaków, najlepiej losowe) i zatwierdź.
7. Poczekaj na zakończenie formatowania i szyfrowania.
8. Przy pierwszym montowaniu podaj hasło; w opcjach montowania możesz włączyć automatyczne montowanie.

3.3. Szyfrowanie całego dysku (bez systemu) w Dyskach

Jeśli chcesz zaszyfrować cały dodatkowy dysk danych, postępuj tak:

1. Wybierz dysk w lewym panelu, kliknij ikonę trzech kropek i wybierz „Sformatuj dysk…”.
2. Wskaż typ tablicy partycji (najczęściej GPT) i sposób wymazywania (szybkie lub pełne).
3. Po sformatowaniu utwórz nową partycję przyciskiem „+” na cały dysk, wybierz Ext4 + szyfrowanie (LUKS).
4. Ustaw hasło szyfrowania i potwierdź.

To wygodne rozwiązanie dla dodatkowych dysków na dane, gdy system startuje z innego nośnika.

4. Szyfrowanie partycji/dysku w terminalu – LUKS + cryptsetup

Metoda LUKS + cryptsetup to standard w świecie Linuksa: zapewnia pełną kontrolę, jest niezależna od GUI i świetnie udokumentowana.

4.1. Instalacja cryptsetup

Na Debian/Ubuntu wykonaj polecenia:

sudo apt update
sudo apt install cryptsetup

4.2. Podstawowe pojęcia

Poniżej krótkie definicje używanych terminów:

• LUKS – warstwa szyfrowania blokowego na poziomie urządzenia (dysk/partycja);
• cryptsetup – narzędzie do zarządzania LUKS (tworzenie, otwieranie, zmiana haseł itp.);
• /dev/sdX, /dev/nvme0n1p1 – surowe urządzenia i partycje widoczne w systemie;
• /dev/mapper/nazwa – odszyfrowane mapowanie po podaniu hasła, używane jak zwykłe urządzenie blokowe.

4.3. Tworzenie zaszyfrowanej partycji (tylko dane)

Załóżmy, że chcesz zaszyfrować partycję /dev/sdb1 i używać jej jako /data:

1. Wykonaj pełny backup z /dev/sdb1 (wszystko zostanie skasowane).
2. Upewnij się, że partycja nie jest zamontowana: sudo umount /dev/sdb1.
3. Zainicjalizuj LUKS: sudo cryptsetup luksFormat /dev/sdb1 (potwierdź „YES”, ustaw silne hasło; domyślne algorytmy, np. AES-XTS, są bezpieczne).
4. Otwórz kontener: sudo cryptsetup luksOpen /dev/sdb1 dane_szyfrowane (pojawi się /dev/mapper/dane_szyfrowane).
5. Utwórz system plików: sudo mkfs.ext4 /dev/mapper/dane_szyfrowane.
6. Utwórz punkt montowania: sudo mkdir -p /mnt/dane.
7. Zamontuj: sudo mount /dev/mapper/dane_szyfrowane /mnt/dane.
8. Skopiuj dane z backupu do /mnt/dane, a po pracy odmontuj i zamknij: sudo umount /mnt/dane, następnie sudo cryptsetup luksClose dane_szyfrowane.

4.4. Automatyczne odblokowywanie i montowanie przy starcie (crypttab + fstab)

Jeśli chcesz, aby partycja była dostępna po starcie systemu (po podaniu hasła w trakcie bootu), wykonaj:

1. Pozyskaj UUID partycji: sudo blkid /dev/sdb1.
2. Edytuj /etc/crypttab i dodaj wpis: dane_szyfrowane UUID=<UUID_z_blkid> none luks (nazwa mapowania, UUID, brak pliku klucza = pytanie o hasło, typ luks).
3. Edytuj /etc/fstab i dodaj: /dev/mapper/dane_szyfrowane /mnt/dane ext4 defaults 0 2.
4. Przetestuj bez restartu: sudo systemctl daemon-reload, opcjonalnie sudo systemctl restart systemd-cryptsetup@dane_szyfrowane.service || true, a następnie sudo mount -a.

Przy kolejnym starcie system poprosi o hasło LUKS, po czym automatycznie zamontuje zasób w /mnt/dane.

5. Szyfrowanie całej partycji systemowej (pełne szyfrowanie dysku)

Uwaga: najprościej i najbezpieczniej zaszyfrować dysk podczas instalacji dystrybucji. Ręczne szyfrowanie istniejącej instalacji jest złożone i ryzykowne, zwłaszcza dla mniej doświadczonych użytkowników.

5.1. Najbezpieczniejsza metoda – reinstalacja z szyfrowaniem

Większość nowoczesnych instalatorów (Ubuntu, Debian, Fedora) oferuje w trakcie instalacji opcję „Użyj LVM i szyfruj nową instalację”. Instalator wykonuje wtedy m.in.:

• tworzy małą, nieszyfrowaną partycję /boot,
• pozostałą przestrzeń obejmuje LUKS, często z LVM w środku (root, swap, /home),
• przy starcie prosi o hasło LUKS i uruchamia system.

To rekomendowana metoda pełnego szyfrowania systemu.

5.2. Ręczne szyfrowanie istniejącej instalacji (zarys)

Poniżej ogólna koncepcja procesu dla zaawansowanych (boot z LiveUSB i praca w chroot):

1. Wykonaj pełną kopię zapasową systemu (obrazy partycji systemowych i /home).
2. Uruchom komputer z LiveUSB (np. Ubuntu live).
3. Zainstaluj narzędzia: sudo apt update oraz sudo apt install cryptsetup.
4. Zaszyfruj docelową partycję systemową: sudo cryptsetup luksFormat /dev/sdaX, następnie sudo cryptsetup luksOpen /dev/sdaX rootcrypt.
5. Na /dev/mapper/rootcrypt utwórz system plików lub LVM i odtwórz z kopii cały system.
6. Utwórz lub pozostaw osobną, niezaszyfrowaną partycję /boot.
7. Wejdź do przywróconego systemu przez chroot, uzupełnij /etc/crypttab i /etc/fstab, zregeneruj initramfs, zainstaluj i skonfiguruj GRUB z obsługą LUKS.

Dla większości użytkowników bezpieczniej jest przeprowadzić świeżą instalację z włączonym szyfrowaniem niż migrować istniejącą.

6. Szyfrowanie zewnętrznych dysków i pendrive’ów

Zewnętrzne nośniki są najbardziej narażone na zgubienie lub kradzież, dlatego warto je szyfrować.

6.1. LUKS + cryptsetup (tylko Linux)

Idealne, jeśli nośnik będzie używany głównie na Linuksie. Procedura jest analogiczna do sekcji 4.3:

1. Wykonaj backup danych z urządzenia (np. /dev/sdc1).
2. Utwórz kontener LUKS: sudo cryptsetup luksFormat /dev/sdc1.
3. Otwórz kontener: sudo cryptsetup luksOpen /dev/sdc1 usbcrypt.
4. Sformatuj: sudo mkfs.ext4 /dev/mapper/usbcrypt.
5. Montuj i pracuj: sudo mount /dev/mapper/usbcrypt /mnt/usb; po zakończeniu: sudo umount /mnt/usb oraz sudo cryptsetup luksClose usbcrypt.

6.2. VeraCrypt (Linux + Windows + macOS)

Gdy potrzebujesz przenosić dane między systemami, rozważ VeraCrypt:

• tworzysz zaszyfrowany wolumen lub partycję przez kreator VeraCrypt,
• wybierasz system plików wspierany przez docelowe systemy (np. exFAT dla Linux + Windows),
• stosujesz sprawdzone algorytmy (np. AES + SHA-512 dla funkcji mieszającej).

Użyj VeraCrypt – działa zarówno pod Linuksem, jak i Windowsem.

Jeśli nie planujesz używać nośnika poza Linuksem, natywny LUKS jest wygodniejszy.

7. Dodatkowe warianty szyfrowania (foldery, katalog domowy)

Poza szyfrowaniem całych partycji możesz zaszyfrować tylko wybrane katalogi, np. katalog domowy.

7.1. eCryptfs – szyfrowany katalog domowy

Starsze, lecz nadal spotykane podejście to eCryptfs (szyfrowanie katalogu domowego użytkownika). Instalacja na systemach debianowych:

sudo apt install ecryptfs-utils cryptsetup

Ogólny przebieg konfiguracji wygląda następująco:

1. Utwórz nowego użytkownika z szyfrowanym katalogiem domowym przy użyciu narzędzi eCryptfs.
2. Zaloguj się jako nowy użytkownik – katalog montuje się po podaniu hasła.
3. Przenieś dane ze starego katalogu domowego lub użyj narzędzi migracyjnych.

Na laptopach to wygodne: po zalogowaniu katalog jest odszyfrowany, po wylogowaniu – znów zaszyfrowany.

8. Dobre praktyki bezpieczeństwa przy szyfrowaniu

Poniższe wskazówki znacząco zwiększają bezpieczeństwo i odporność na błędy użytkownika:

• Silne hasła – wybieraj długie (min. 12–16, najlepiej 20+ znaków), losowe hasła i przechowuj je w menedżerze haseł oraz (opcjonalnie) w sejfie na papierze;
• Wiele slotów kluczy – w LUKS dodaj drugi klucz/hasło awaryjne i przechowuj go w bezpiecznej dokumentacji;
• Regularne testy backupów – okresowo sprawdzaj odtwarzanie kopii na innym systemie lub maszynie wirtualnej;
• Aktualizacje – utrzymuj system i cryptsetup w aktualnych wersjach z łatkami bezpieczeństwa;
• Świadomość zagrożeń online – szyfrowanie chroni dane „w spoczynku”, ale nie zabezpiecza przed malware działającym na odblokowanym systemie ani przed przejęciem sesji SSH.

9. Typowe problemy i ich rozwiązania

System nie startuje po włączeniu szyfrowania

Sprawdź poprawność wpisów w /etc/crypttab i /etc/fstab. Uruchom system z LiveUSB, zamontuj /boot, zregeneruj initramfs i GRUB z obsługą LUKS.

Zapomniane hasło do LUKS

Bez zapasowego hasła/klucza dane są praktycznie nie do odzyskania. Dlatego zawsze konfiguruj co najmniej dwa sloty kluczy i przechowuj je bezpiecznie.

Zmiana hasła LUKS

Dodaj nowe hasło: sudo cryptsetup luksAddKey /dev/sdX. Usuń stare: sudo cryptsetup luksRemoveKey /dev/sdX. Zawsze potwierdź, że nowe hasło działa, zanim skasujesz poprzednie.

10. Jak ułożyć artykuł na polską stronę technologiczną

Poniżej gotowy, logiczny szkielet publikacji:

1. Wstęp – po co szyfrować dyski w Linuksie; krótkie wyjaśnienie LUKS i cryptsetup;
2. Przygotowanie do szyfrowania – kopie zapasowe, identyfikacja dysków, instalacja narzędzi;
3. Szyfrowanie przez GUI (Gnome Disks) – krok po kroku: Format Partition, Format Disk, Erase, Type, ustawianie hasła;
4. Szyfrowanie w terminalu (LUKS + cryptsetup) – komendy luksFormat, luksOpen, mkfs, montowanie, /etc/crypttab, /etc/fstab;
5. Pełne szyfrowanie systemu – instalatory Linuksa z opcją szyfrowania, ostrzeżenia przed ręczną migracją, zarys dla zaawansowanych;
6. Zewnętrzne dyski i pendrive’y – LUKS vs VeraCrypt, kompatybilność z Windows/macOS;
7. Szyfrowanie katalogów – eCryptfs i alternatywy;
8. Dobre praktyki i problemy – hasła, kopie zapasowe, typowe błędy i rozwiązania.

Taki układ jest przystępny dla początkujących (GUI), a jednocześnie konkretny dla średniozaawansowanych i ekspertów (cryptsetup, pełne szyfrowanie).