Cómo recuperar datos de un volumen cifrado con LUKS
LUKS es una de las técnicas de cifrado más populares que se utiliza en las computadoras bajo el sistema operativo Linux y en algunos dispositivos NAS. Brinda una resistencia robusta contra ataques de fuerza bruta, lo que garantiza que la información confidencial almacenada en el disco permanezca protegida contra el acceso no autorizado. No obstante, esto no garantiza la seguridad de los datos en sí, ya que pueden ser eliminados accidentalmente por un usuario autorizado o incluso desaparecer sin ninguna razón aparente. Afortunadamente, los archivos que se pierden de las particiones en este formato a menudo se pueden restaurar. Aún así, antes de intentar recuperar lo perdido, hay que descifrar el almacenamiento utilizando los datos de autenticación correctos. UFS Explorer Professional Recovery permite descifrar dichos volúmenes directamente en la interfaz del programa y ofrece acceso rápido a los datos que contienen junto con los medios efectivos para recuperar los ficheros que se eliminaron o se perdieron. Siga las instrucciones proporcionadas a continuación para desbloquear su partición cifrada con LUKS y recuperar su contenido con la ayuda del software antes mencionado.
Aspectos generales de LUKS
LUKS (Linux Unified Key Setup) es un estándar de cifrado de disco de código abierto que se diseñó específicamente para la plataforma Linux. Funciona a nivel del núcleo (también conocido como kernel) utilizando el controlador de mapeador de dispositivos del último, mientras que los mecanismos de cifrado y descifrado se proporcionan por el módulo dm-crypt.
La versión original de LUKS fue lanzada en 2005. Se basa principalmente en el algoritmo AES (Advanced Encryption Standard o Estándar de cifrado avanzado) en el modo XTS y emplea la función SHA-1 hash para la verificación de integridad. En 2018, se introdujeron varias mejoras en LUKS, y este nuevo estándar se conoce a menudo como LUKS2. La versión actualizada es compatible con un mayor número de algoritmos de cifrado además de AES (incluidos Twofish, Serpent, Camellia), así como con modos de cifrado adicionales (como GCM, CCM, etc.) y funciones hash más sólidas (como SHA-256 y SHA-512).
LUKS se utiliza en almacenamientos de datos de una amplia gama de configuraciones, desde dispositivos internos o externos individuales hasta arreglos complejos que incluyen múltiples unidades como, por ejemplo, los creados con las tecnologías LVM o mdadm RAID de Linux. También es una solución de cifrado que se utiliza comúnmente en los dispositivos NAS, especialmente en los producidos por QNAP.
En Linux, LUKS se puede activar durante la instalación de una distribución, siempre que se seleccione la opción de cifrado correspondiente. En este caso, se cifran todas las particiones y el espacio de intercambio (memoria swap), excepto la partición /boot y GRUB que normalmente no se cifran para asegurar la funcionalidad de arranque del sistema. El cifrado LUKS también se puede aplicar a una partición individual con la ayuda de la utilidad de línea de comandos cryptsetup. En los dispositivos NAS compatibles, el cifrado se puede activar durante la creación de un volumen de NAS, si el usuario marca la casilla de verificación correspondiente.
Cuando una partición se cifra por medio de LUKS, todo su contenido se transforma en un texto cifrado ilegible. El sistema también genera una clave maestra única (master key) que se utiliza para desbloquear el almacenamiento. Esta clave nunca se muestra al usuario, sino que se cifra utilizando los datos de autenticación del usuario como:
una frase de contraseña o contraseña;
un archivo de clave almacenado en un medio de almacenamiento de datos externo.
Una frase de contraseña o contraseña es una secuencia de caracteres, normalmente de hasta 512, que proporciona el usuario a la hora de configurar el cifrado y que se solicita al iniciar el sistema o al acceder a un dispositivo de almacenamiento portátil cifrado. Y también puede haber frases de contraseña o contraseñas adicionales, en caso de que más de un usuario autorizado tenga acceso al medio de almacenamiento cifrado.
Un archivo de clave es un archivo separado que se almacena en un medio extraíble, por ejemplo, en una memoria USB. El archivo puede contener una frase de contraseña simple, un bloque de caracteres aleatorios o incluso datos binarios como una imagen, una pista de música o un vídeo. Entonces, la memoria USB funciona como una clave física que, cuando se adjunta a la computadora, permite descifrar la clave maestra.
Para descifrar los datos cifrados, el usuario debe proporcionar su frase de contraseña o contraseña personal, o un archivo de clave. El sistema luego convierte lo ingresado en hash y lo compara con el hash almacenado de la clave maestra que puede encontrarse en una o más ranuras de clave (key slots), dependiendo de la cantidad de frases de contraseña/contraseñas configuradas en LUKS. En caso de coincidencia, la clave maestra se descifra y se puede utilizar para descifrar el contenido de datos real. Sin embargo, toda la información necesaria para el descifrado se almacena como metadatos dentro del encabezado de LUKS y de la sección de material de clave que lo sigue. En caso de que esas áreas se dañen, será absolutamente imposible leer los datos cifrados, incluso con la frase de contraseña/contraseña correcta.
La manera más fácil de desbloquear un volumen cifrado con LUKS es ingresar una contraseña o frase de contraseña asociada con cualquier usuario válido, cuando lo solicita UFS Explorer. Pero se debe tener en cuenta que la presencia de al menos una frase de contraseña o contraseña correcta es crucial para el descifrado. Sin ella, el descifrado ni siquiera se puede realizar y los datos permanecen ilegibles.
Implementación de LUKS en los dispositivos NAS de QNAP
La mayoría de los productos NAS fabricados por QNAP son compatibles con el cifrado de disco completo. Esta función se basa en la tecnología LUKS, normalmente con el algoritmo AES de 256 bits en el modo CBC. No obstante, la implementación específica de LUKS por QNAP difiere ligeramente de la versión estándar que se encuentra en los sistemas bajo Linux.
Se puede crear una partición cifrada en una unidad individual, un conjunto JBOD o un arreglo RAID. Cuando un usuario decide habilitar el cifrado, se le solicita que especifique una frase de contraseña de entre 8 y 32 caracteres de longitud. Esta frase de contraseña se utiliza para cifrar la clave maestra de LUKS y se procesa en primer lugar por la utilidad de QNAP llamada storage_util. Esta utilidad transforma la frase de contraseña utilizando la función MD5 hash junto con la sal (salt) específica de QNAP llamada YCCaQNAP.
La clave de cifrado resultante se guarda luego como un archivo de 256 bytes con la extensión .key. Este archivo puede crearse inmediatamente durante el cifrado o agregarse después.
Recuperación desde un volumen LUKS con una frase de contraseña/contraseña
UFS Explorer Professional Recovery cuenta con una compatibilidad robusta con los volúmenes cifrados con LUKS. El programa es compatible con ambas versiones de LUKS (LUKS1 y LUKS2) y también puede procesar los recursos compartidos de NAS cifrados con LUKS. Los usuarios pueden desbloquear fácilmente sus dispositivos cifrados directamente en el software al ingresar una frase de contraseña o contraseña válida y luego proceder a la recuperación de datos. El proceso de recuperación de datos de dichos volúmenes cifrados normalmente incluye los siguientes pasos:
-
Conecte su almacenamiento cifrado con LUKS a la computadora.
Adjunte su dispositivo portátil cifrado a la computadora. Si se trata de la partición reservada para el sistema, debido a las posibilidades de sobrescritura altas, es recomendable extraer la unidad de la PC y conectarla a otra computadora como un medio de almacenamiento adicional o arrancar la computadora desde UFS Explorer Backup and Emergency Recovery CD. Cabe resaltar también que cuando el cifrado de LUKS se utiliza en combinación con un chip TPM, el último debe estar presente en la computadora durante el procedimiento de recuperación de datos, por lo que, en caso de que esté integrado, el procedimiento sólo se puede realizar en esa misma PC.
Sugerencia: Si usted necesita conectar un disco duro interno de otra computadora, puede adjuntarlo a la placa base de su PC o conectarlo externamente usando un adaptador USB a SATA.
-
Instale UFS Explorer Professional Recovery y ejecute el programa.
Inicie el programa con privilegios elevados al ingresar el nombre de usuario y la contraseña correctos, cuando se solicitan. Todas las unidades adjuntas se enumerarán entre los almacenamientos conectados en el panel izquierdo. Los volúmenes lógicos se mostrarán debajo de los dispositivos físicos correspondientes.
Sugerencia: Si usted tiene alguna dificultad con la instalación de la utilidad, por favor, consulte el manual de instalación de UFS Explorer Professional Recovery.
-
Seleccione la partición LUKS necesaria de la lista de almacenamientos detectados por el software.
Examine el árbol de almacenamientos y seleccione el volumen cifrado necesario. Puede identificarlo por el icono de candado amarillo.
-
Descifre el volumen en el programa.
Abra el menú contextual del volumen y haga clic en la opción "Descifrar almacenamiento cifrado". Opte por la técnica de descifrado "Metadatos de LUKS" e ingrese la frase de contraseña/contraseña correcta.
Si la frase de contraseña o contraseña incluye símbolos no imprimibles, hay que especificarla como el código hexadecimal correspondiente y habilitar la opción "Decodificar hexadecimal".
En caso de un dispositivo NAS de QNAP, se debe activar "Transformar QNAP" e ingresar la frase de contraseña tal como está.
Sugerencia: Se puede encontrar más información sobre el procesamiento de NAS en las instrucciones de recuperación de datos desde NAS.
-
Escanee la partición descifrada para encontrar sus datos eliminados o perdidos.
Una vez realizado el descifrado, se puede acceder al sistema de archivos intacto directamente en la interfaz del software. Para encontrar los ficheros que se eliminaron o se perdieron, se debe realizar el escaneo del almacenamiento afectado. Para ello, seleccione el instrumento respectivo de la barra de herramientas, anule la selección de los sistemas de archivos innecesarios y pulse el botón "Iniciar escaneo".
Sugerencia: Más información sobre cómo configurar el escaneo se puede encontrar en el artículo dedicado al escaneo de una unidad con UFS Explorer.
-
Seleccione los datos recuperados necesarios y cópielos a otro dispositivo de almacenamiento.
Tras el escaneo, explore los archivos y carpetas restaurados por el software y decida cuáles de ellos se deben copiar. Para especificar los objetos para guardar, pulse el botón "Definir selección", ponga marcas junto a ellos y haga clic en "Guardar selección". Después de eso, elija una ubicación de destino segura para los datos restaurados.
Sugerencia: La información que se proporciona en el artículo Evaluación y guardado de los resultados de la recuperación de datos puede facilitar su trabajo con los archivos y carpetas obtenidos.
Videoguía de recuperación desde un almacenamiento cifrado con LUKS
Todo el curso de acción también se explica en el siguiente vídeo:
Última actualización: el 27 de diciembre de 2024