Chiffrement de disque (2/n)

Je vais parler ici du chiffrement de disque (pas juste un fichier, ou bien un disque dans un fichier monté en loop, non, vraiment une partition physique entière). Comme il y a beaucoup de choses à dire sur le sujet, je vais découper en plusieurs parties.
Après les raisons pour le faire, voyons les features que l'on peut attendre d'un chiffrement de disque, et les moyens d'y arriver.

2. Les features

Avant de voir ce que proposent les différents OS libres (je ne parlerai pas des autres, car je ne connais pas d'outils de chiffrement libre sur OS propriétaire), voyons ce que l'on peut attendre d'un chiffrement :

• chiffrement de fichier (facile...)
• chiffrement de partitions (différent du fichier, malgré le paradigme *nix device=fichier)
• chiffrement de la partition racine (toute une histoire, étant donné que le kernel doit savoir déchiffrer les informations dès son chargement, avant même le lancement du script init)
• modification du mot de passe et/ou clé de chiffrement du disque (pour cette dernière, il faut souvent rechiffrer l'intégralité de son disque, ce qui n'est pas aisé).
• possibilité de détruire les données de façon irreversible et rapide

3. Les moyens

Pour chiffrer une partition, on a deux moyens : le filesystem chiffré et le chiffrement au niveau du pilote de périphérique.

Dans le premier cas, le chiffrement n'est pas toujours complet, par exemple CFS ne chiffre que les fichiers, et non les metadata liés au filesystem. Par contre, il peut être utilisé pour fournir un disque chiffré partagé en réseau (sa sécurité repose alors sur celle d'NFS, ce qui n'est pas forcément beau à voir).

Pour le deuxième cas, le chiffrement se fait grâce à un driver, entre le driver de disque et le filesystem. Ce moyen est beaucoup plus souple, puisqu'il permet de poser n'importe quel filesystem au-dessus.

Je me concentrerai sur la seconde catégorie, car c'est celle qui est choisie le plus souvent (pour des raisons certainement liées aux défauts des filesystems chiffrés). Nous verrons donc (dans le désordre), OpenBSD, NetBSD et FreeBSD (les trois BSD proposent chacun un système différent), et Linux (qui propose plusieurs procédés). Avant de finir par un tableau comparatif et synthétique (date de livraison inconnue :D)