LUKS暗号化デバイスのバックアップのベストプラクティス

cryptsetup問題がある場合は、イメージファイルをブロックデバイスと同じように処理してください。したがって、dd（巨大な）画像を作成すると機能します。それ以外の場合は、ループデバイスを直接作成できます。

ベストプラクティス（バックアップを暗号化したままにしたい場合）は、バックアップディスクを同時に暗号化し、両方のコンテナを開き、暗号化されていないファイルシステムを使用するかのように選択したバックアップソリューションを実行することです。元のディスクのデータを復号化してからバックアップディスク用に再暗号化するので、最速の方法ではありません。一方、増分バックアップソリューションを可能にするため、平均してdd-image-creationを超えています。

これに固執するdd唯一の方法は、ddLUKSpartimageヘッダーとオフセットを考慮して、ファイルシステムで実際に使用されている暗号化されたデータのみを保存することです。

ソースディスクがSSDであり、LUKS内でTRIMを許可し、SSDがトリム領域を0としてマークしている場合は通過できますdd conv=sparse。それでもお勧めできません。

最も簡単なアプローチは、バックアップシステムを暗号化システムとは無関係にすることです。バックアップ用に暗号化されたボリュームを作成します。元のボリュームとバックアップボリュームをマウントし、お好みのファイルシステムレベルのバックアップソフトウェアを実行します。

単純さに加えて、この方法の利点は、バックアップボリュームが元のボリュームとサイズと内容が同じである必要がないことです。サブディレクトリにバックアップし、増分バックアップなどを実行できます。

また、非常に小さなセキュリティ上の利点もあります。攻撃者がバックアップを取得し、パスワードを見つけ、バックアップボリュームが暗号化されたボリュームの直接コピーである場合は、元のボリュームを再暗号化する必要があります。バックアップボリュームが独立して暗号化されている場合は、元のボリュームのパスワードを変更するだけで十分です。

私がしたこと

cryptsetup luksOpen <device> <name>
fsarchiver -c - savefs <archive> <filesystem>