Как зашифровать домашнюю папку с помощью fscrypt и ext4

Добавьте шифрование на уровне директории без переустановки системы. Простой и минималистичный подход с использованием fscrypt на ext4.

Шифрование домашней директории с fscrypt на ext4

Если вы уже используете систему с файловой системой ext4 и хотите защитить личные данные шифрованием — fscrypt позволяет сделать это без переустановки ОС. Подходит для тех, кто заботится о конфиденциальности и предпочитает минимализм без громоздких решений.

Кому и зачем это нужно

Этот подход особенно полезен:

Пользователям ноутбуков и десктопов, которые не хотят шифровать весь диск
Разработчикам и администраторам, ценящим лёгкость и контроль
Тем, кто уже установил систему и хочет добавить шифрование постфактум

Пошаговая инструкция по шифрованию домашней директории

1. Включаем поддержку шифрования на ext4

tune2fs -O encrypt /dev/sdX#

Замените /dev/sdX# на актуальное устройство. Перезагрузите систему после выполнения команды.

2. Устанавливаем нужные пакеты

sudo apt install fscrypt libpam-fscrypt

3. Создаем временного пользователя для настройки

sudo adduser user1
sudo usermod -aG sudo user1

Завершите сеанс основного пользователя и войдите под новым.

4. Настройка fscrypt

sudo fscrypt setup

Подтвердите создание конфигурационного файла и каталога /.fscrypt.

5. Создаем новую домашнюю директорию

sudo mkdir /home/user0-new

6. Включаем шифрование для новой папки

sudo fscrypt encrypt /home/user0-new --user=user0

В диалоге выберите:

1 - Your login passphrase (pam_passphrase)

Введите пароль основного пользователя, когда будет запрошен.

7. Копируем данные в зашифрованную папку

sudo cp -a -T /home/user0 /home/user0-new

8. Переименование и замена домашней директории

cd /home
sudo mv user0 user0.backup
sudo mv user0-new user0

Финальные шаги

Перезагрузите систему и войдите под основным пользователем. Если всё работает — можно удалить временного пользователя и резервную копию:

sudo deluser --remove-home user1
sudo rm -rf /home/user0.backup

Выводы

С помощью fscrypt можно добавить прозрачное шифрование на уровне директории без необходимости полного шифрования диска. Это решение подходит для большинства настольных сценариев и не требует изменений в загрузчике или initramfs.

Что думаете?

Используете ли вы шифрование домашней папки? Или предпочитаете LUKS на уровне диска? Поделитесь опытом в комментариях — интересно узнать, как вы решаете вопрос защиты данных.