Chiffrer un volume de données avec LUKS

Les exports de paie (/srv/paie) doivent être chiffrés au repos sur le nouveau disque /dev/sdc.

1. sudo cryptsetup luksFormat --type luks2 /dev/sdc (phrase de passe issue du coffre)
2. sudo cryptsetup open /dev/sdc paie_chiffre, sudo mkfs.xfs /dev/mapper/paie_chiffre, sudo mount /dev/mapper/paie_chiffre /srv/paie
3. Sauvegarde de l'en-tête LUKS (sans elle, un en-tête corrompu rend les données irrécupérables) : sudo cryptsetup luksHeaderBackup /dev/sdc --header-backup-file /root/sdc-luks-header.img
4. Montage au démarrage : /etc/crypttab avec paie_chiffre /dev/sdc none luks (déverrouillage manuel ou par clé réseau) et /etc/fstab avec /dev/mapper/paie_chiffre /srv/paie xfs defaults,nofail 0 0
5. Contre quoi LUKS protège-t-il ? → answer protege <vol-du-disque|acces-root|ransomware>