리눅스 LUKS로 디스크 암호화 구현하기

# 대부분의 배포판에 기본 설치되어 있음
which cryptsetup

# 없다면 설치
dnf install cryptsetup -y        # RHEL 계열
apt install cryptsetup -y        # Debian 계열

# 사용할 디스크/파티션 확인
lsblk
fdisk -l /dev/sdb

# 파티션 생성 (이미 있으면 생략)
fdisk /dev/sdb
# n → p → 1 → 기본값 → 기본값 → w

# LUKS 포맷 (기존 데이터 모두 삭제됨!)
cryptsetup luksFormat /dev/sdb1

# 암호화 옵션 명시
cryptsetup luksFormat \
  --type luks2 \
  --cipher aes-xts-plain64 \
  --key-size 512 \
  --hash sha256 \
  /dev/sdb1

# 암호화 파티션을 /dev/mapper/secure-data 로 매핑
cryptsetup luksOpen /dev/sdb1 secure-data

# 매핑된 디바이스 확인
ls -la /dev/mapper/secure-data

# 파일 시스템 생성
mkfs.ext4 /dev/mapper/secure-data

# 마운트 포인트 생성
mkdir -p /mnt/secure

# 마운트
mount /dev/mapper/secure-data /mnt/secure

# 사용 후 언마운트 및 잠금
umount /mnt/secure
cryptsetup luksClose secure-data

# 현재 키슬롯 상태 확인
cryptsetup luksDump /dev/sdb1

# 추가 패스프레이즈 등록 (백업용)
cryptsetup luksAddKey /dev/sdb1

# 키파일로 인증
dd if=/dev/urandom bs=512 count=4 of=/root/luks-keyfile
chmod 400 /root/luks-keyfile
cryptsetup luksAddKey /dev/sdb1 /root/luks-keyfile

# 특정 키슬롯 삭제
cryptsetup luksKillSlot /dev/sdb1 1

# /etc/crypttab 설정
# 형식: 이름  장치  키파일  옵션
echo "secure-data  /dev/sdb1  none  luks" >> /etc/crypttab

# 키파일 사용 시
echo "secure-data  /dev/sdb1  /root/luks-keyfile  luks" >> /etc/crypttab

# /etc/fstab 에 마운트 설정 추가
echo "/dev/mapper/secure-data  /mnt/secure  ext4  defaults  0  2" >> /etc/fstab

# 설정 검증
systemctl daemon-reload
systemctl start systemd-cryptsetup@secure-data

# 헤더 백업
cryptsetup luksHeaderBackup /dev/sdb1 \
  --header-backup-file /root/luks-header-backup.img

# 헤더 복원 (손상 시)
cryptsetup luksHeaderRestore /dev/sdb1 \
  --header-backup-file /root/luks-header-backup.img

# 백업 파일은 암호화된 안전한 위치에 보관

# 디바이스 상태 확인
cryptsetup status secure-data

# LUKS 상세 정보
cryptsetup luksDump /dev/sdb1

# 암호화된 파티션 여부 확인
cryptsetup isLuks /dev/sdb1 && echo "LUKS 장치" || echo "일반 장치"