Cifra el disco de tu ordenador

Debian

Lista los discos y sus particiones con el tipo de cada una:

lsblk -o NAME,FSTYPE,SIZE,MOUNTPOINTS

NAME                      FSTYPE        SIZE MOUNTPOINTS
nvme0n1                               476,9G
├─nvme0n1p1               vfat            1G /boot/efi
├─nvme0n1p2               ext4            2G /boot
└─nvme0n1p3               crypto_LUKS 473,9G
  └─dm_crypt-0            LVM2_member 473,9G
    └─ubuntu--vg-ubuntu--lv ext4      473,9G /

Si la partición que contiene tu sistema (la que acaba montada en /) cuelga de una marcada como crypto_LUKS, ya está cifrado. Si / está directamente sobre una partición ext4 o btrfs, no.

Fedora

Lista los discos y sus particiones con el tipo de cada una:

lsblk -o NAME,FSTYPE,SIZE,MOUNTPOINTS

NAME                      FSTYPE        SIZE MOUNTPOINTS
nvme0n1                               476,9G
├─nvme0n1p1               vfat            1G /boot/efi
├─nvme0n1p2               ext4            2G /boot
└─nvme0n1p3               crypto_LUKS 473,9G
  └─dm_crypt-0            LVM2_member 473,9G
    └─ubuntu--vg-ubuntu--lv ext4      473,9G /

Si la partición que contiene tu sistema (la que acaba montada en /) cuelga de una marcada como crypto_LUKS, ya está cifrado. Si / está directamente sobre una partición ext4 o btrfs, no.

Arch Linux

Lista los discos y sus particiones con el tipo de cada una:

lsblk -o NAME,FSTYPE,SIZE,MOUNTPOINTS

NAME                      FSTYPE        SIZE MOUNTPOINTS
nvme0n1                               476,9G
├─nvme0n1p1               vfat            1G /boot/efi
├─nvme0n1p2               ext4            2G /boot
└─nvme0n1p3               crypto_LUKS 473,9G
  └─dm_crypt-0            LVM2_member 473,9G
    └─ubuntu--vg-ubuntu--lv ext4      473,9G /

Si la partición que contiene tu sistema (la que acaba montada en /) cuelga de una marcada como crypto_LUKS, ya está cifrado. Si / está directamente sobre una partición ext4 o btrfs, no.

macOS

fdesetup status

FileVault is On.

También lo ves en Ajustes del Sistema > Privacidad y seguridad > FileVault.

Windows

Abre una terminal como administrador y pregunta por la unidad del sistema:

manage-bde -status C:

Fíjate en las líneas de estado de conversión y de protección: si dicen que la unidad está cifrada por completo y la protección activada, ya está. En Windows Home, que no tiene BitLocker completo, míralo en Configuración > Privacidad y seguridad > Cifrado de dispositivo.

Debian

En Linux, el cifrado se elige al instalar: hacerlo con el sistema ya instalado es posible, pero arriesgado. Así que, si tu disco no está cifrado, la vía segura es copia, reinstala y restaura:

1. Haz una copia de tus archivos, por ejemplo con restic, y comprueba que puedes restaurarla.
2. Arranca el instalador de Debian. Al particionar, elige Guiado – utilizar todo el disco y configurar LVM cifrado.
3. El instalador sobrescribirá el disco con datos aleatorios (tarda un rato; puedes saltártelo, pero es mejor dejarlo) y te pedirá una frase de paso. Será lo que te pida el equipo cada vez que arranque.
4. Cuando acabe, restaura tus archivos.

Fedora

En Linux, el cifrado se elige al instalar: hacerlo con el sistema ya instalado es posible, pero arriesgado. Así que, si tu disco no está cifrado, la vía segura es copia, reinstala y restaura:

1. Haz una copia de tus archivos, por ejemplo con restic, y comprueba que puedes restaurarla.
2. Arranca el instalador de Fedora. En el destino de la instalación, marca Cifrar mis datos.
3. Escribe una frase de paso. Será lo que te pida el equipo cada vez que arranque.
4. Cuando acabe, restaura tus archivos.

Arch Linux

En Linux, el cifrado se elige al instalar: hacerlo con el sistema ya instalado es posible, pero arriesgado. Así que, si tu disco no está cifrado, la vía segura es copia, reinstala y restaura:

1. Haz una copia de tus archivos, por ejemplo con restic, y comprueba que puedes restaurarla.
2. Con archinstall, entra en la configuración de discos y activa Disk encryption, de tipo LUKS. Si instalas a mano, la wiki de Arch tiene una página entera, dm-crypt/Encrypting an entire system, con todas las variantes.
3. Escribe una frase de paso. Será lo que te pida el equipo cada vez que arranque.
4. Cuando acabe, restaura tus archivos.

macOS

Ve a Ajustes del Sistema > Privacidad y seguridad > FileVault y pulsa Activar.

macOS te preguntará cómo quieres poder recuperar el disco si olvidas tu contraseña: con tu cuenta de iCloud o con una llave de recuperación. La primera opción deja la llave en manos de Apple. Si prefieres que dependa solo de ti, elige la llave de recuperación y guárdala como se explica en el paso siguiente.

Desde la terminal se hace con sudo fdesetup enable, que muestra la llave de recuperación al acabar.

En los Mac con chip de Apple o con chip T2, los datos ya se guardan cifrados por hardware, así que activar FileVault es instantáneo: lo que hace es atar esa llave a tu contraseña. En los Mac más antiguos, el cifrado se hace en segundo plano y puedes seguir usando el equipo.

Windows

En Windows Pro, Enterprise o Education, abre el Panel de control > Sistema y seguridad > Cifrado de unidad BitLocker y pulsa Activar BitLocker en la unidad C:. El asistente te pedirá dónde guardar la clave de recuperación. Puedes elegir más de un sitio: elige guardar en un archivo (en una memoria USB, nunca en el mismo disco) o imprimir. Después, cifra el disco entero y deja que haga una comprobación con un reinicio.

En Windows Home no hay BitLocker completo, sino Cifrado de dispositivo, en Configuración > Privacidad y seguridad. Solo funciona si inicias sesión con una cuenta de Microsoft, y guarda automáticamente una copia de la clave de recuperación en esa cuenta. Windows 11 lo activa por su cuenta en muchas instalaciones nuevas, así que puede que tu disco ya esté cifrado sin que lo sepas, con la llave en los servidores de Microsoft.

Que la llave de tu disco esté en manos de una empresa significa que esa empresa puede tener que entregarla si se la pide un juez. Si no te parece bien, entra en account.microsoft.com/devices/recoverykey, apunta tu clave en un sitio seguro y después bórrala de la cuenta.

Debian

LUKS admite varias contraseñas para el mismo disco, cada una en su ranura. Añade una segunda, larga, que guardarás como llave de recuperación (cambia nvme0n1p3 por tu partición crypto_LUKS):

sudo cryptsetup luksAddKey /dev/nvme0n1p3

Te pedirá primero una contraseña que ya funcione y después la nueva. Puedes ver las ranuras ocupadas con sudo cryptsetup luksDump /dev/nvme0n1p3.

Haz también una copia de la cabecera de LUKS, el pequeño bloque del principio del disco donde están las llaves. Si se daña, no hay contraseña que valga. Guarda el archivo fuera del equipo:

sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file cabecera-luks.img

Fedora

LUKS admite varias contraseñas para el mismo disco, cada una en su ranura. Añade una segunda, larga, que guardarás como llave de recuperación (cambia nvme0n1p3 por tu partición crypto_LUKS):

sudo cryptsetup luksAddKey /dev/nvme0n1p3

Te pedirá primero una contraseña que ya funcione y después la nueva. Puedes ver las ranuras ocupadas con sudo cryptsetup luksDump /dev/nvme0n1p3.

Haz también una copia de la cabecera de LUKS, el pequeño bloque del principio del disco donde están las llaves. Si se daña, no hay contraseña que valga. Guarda el archivo fuera del equipo:

sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file cabecera-luks.img

Arch Linux

LUKS admite varias contraseñas para el mismo disco, cada una en su ranura. Añade una segunda, larga, que guardarás como llave de recuperación (cambia nvme0n1p3 por tu partición crypto_LUKS):

sudo cryptsetup luksAddKey /dev/nvme0n1p3

Te pedirá primero una contraseña que ya funcione y después la nueva. Puedes ver las ranuras ocupadas con sudo cryptsetup luksDump /dev/nvme0n1p3.

Haz también una copia de la cabecera de LUKS, el pequeño bloque del principio del disco donde están las llaves. Si se daña, no hay contraseña que valga. Guarda el archivo fuera del equipo:

sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file cabecera-luks.img

macOS

Si elegiste llave de recuperación, macOS te la enseña una sola vez al activar FileVault. Si no la apuntaste, genera una nueva con sudo fdesetup changerecovery -personal; la anterior deja de valer.

Windows

Si no guardaste la clave de recuperación o quieres comprobarla, consúltala desde una terminal como administrador:

manage-bde -protectors -get C:

La clave es el número de 48 cifras que aparece como contraseña numérica.

Debian

La forma más sencilla es la aplicación Discos (GNOME Disks): selecciona el disco, formatea la partición y elige un tipo de sistema de archivos con cifrado LUKS.

Desde la terminal, primero identifica bien el disco con lsblk: lo que formatees se borrará entero. Si la memoria es /dev/sdb y su partición, /dev/sdb1:

sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup open /dev/sdb1 externo
sudo mkfs.ext4 -L copias /dev/mapper/externo
sudo cryptsetup close externo

A partir de ahora, cuando la conectes, el escritorio te pedirá la frase de paso para abrirla.

Fedora

La forma más sencilla es la aplicación Discos (GNOME Disks): selecciona el disco, formatea la partición y elige un tipo de sistema de archivos con cifrado LUKS.

Desde la terminal, primero identifica bien el disco con lsblk: lo que formatees se borrará entero. Si la memoria es /dev/sdb y su partición, /dev/sdb1:

sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup open /dev/sdb1 externo
sudo mkfs.ext4 -L copias /dev/mapper/externo
sudo cryptsetup close externo

A partir de ahora, cuando la conectes, el escritorio te pedirá la frase de paso para abrirla.

Arch Linux

La forma más sencilla es la aplicación Discos (GNOME Disks): selecciona el disco, formatea la partición y elige un tipo de sistema de archivos con cifrado LUKS.

Desde la terminal, primero identifica bien el disco con lsblk: lo que formatees se borrará entero. Si la memoria es /dev/sdb y su partición, /dev/sdb1:

sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup open /dev/sdb1 externo
sudo mkfs.ext4 -L copias /dev/mapper/externo
sudo cryptsetup close externo

A partir de ahora, cuando la conectes, el escritorio te pedirá la frase de paso para abrirla.

macOS

En la Utilidad de Discos, selecciona el disco, pulsa Borrar y elige el formato APFS (encriptado). Si el disco ya está en formato APFS y no quieres borrarlo, haz clic derecho sobre él en el Finder y elige Encriptar.

Windows

En el Explorador de archivos, haz clic derecho en la unidad y elige Activar BitLocker (BitLocker To Go). Windows Home puede abrir unidades cifradas así, pero no cifrar unidades nuevas.