Em relação ao acesso físico, a norma ABNT NBR ISO/IEC 27002:2005 diz no item 9.1.1, que convém que sejam utilizados perímetros de segurança (barreiras tais como paredes, portões de entrada controlados por cartão ou balcões de recepção com recepcionistas) para proteger as áreas que contenham informações e instalações de processamento da informação.

Sobre a criptografia a norma diz no item 12.3.1, na letra C, que convém o uso de criptografia para a proteção de informações sensíveis transportadas em celulares e PDAs, mídias removíveis ou móveis, dispositivos ou linhas de comunicação.

Essa criptografia é feita na instalação do sistema operacional ou depois que ele está instalado?

Quando trabalhamos com criptografia de discos, podemos escolher se desejamos fazer na instalação do sistema ou fazer depois que o sistema já está instalado. As distribuições Debian e Red Hat tem essa opção de fazer a criptografia logo na instalação.

Como será o nosso trabalho?

No nosso caso, estamos supondo que estamos trabalhando em um servidor que já estava instalado, então temos alguns procedimentos a seguir para fazer esse trabalho. Se vamos fazer em um servidor que já está em produção, qual é o primeiro passo a ser feito?

Se vamos criptografar uma partição que já está montada e já contém dados, vamos ter que fazer um backup, pois na construção do sistema de criptografia os dados serão perdidos. Caso seja uma partição que ainda não contenha dados esse procedimento é mais tranquilo.

Para o nosso ambiente, vou supor que vocês tem uma partição sobrando, no caso no meu exemplo, vou usar a /dev/sda10.

Para trabalharmos com o sistema de criptografia dm-crypt precisamos que os módulos relacionados a ele estejam ativados:

# lsmod | grep dm
dm_crypt 11172 0
crypto_blkcipher 15236 1 dm_crypt
dm_mod 46184 1 dm_crypt
# lsmod | grep md5
# cat /proc/crypto

Com os módulos carregados, podemos instalar a ferramenta cryptsetup:

# aptitude install cryptsetup

Com o cryptsetup instalado, podemos configurar como será utilizada a criptografia em nossa partição:

# cryptsetup -y --cipher aes-cbc-essiv:sha256 --key-size 256 luksFormat
/dev/sda10
WARNING!
========
This will overwrite data on /dev/hda10 irrevocably.
Are you sure? (Type uppercase yes): YES
Enter LUKS passphrase: <Digite a senha>
Verify passphrase: <Confirme a senha>
Command successful.

Parâmetros do cryptsetup:

• -y ou --verify-passphrase: faz a checagem da senha digitada.
• --cipher: define qual é o modo de criptografia que o dispositivo vai usar.
• --key-size: define em bits o tamanho da chave de criptografia.
• luksFormat: indica que o dispositivo vai utilizar o padrão LUKS.

Nesse momento, outros módulos de criptografia foram ativados:

# lsmod | grep aes
# cat /proc/crypto