Mike Kasberg

08 Apr 2020

Lorsque vous exécutez le programme d’installation d’Ubuntu, il y a une option pour faire un double démarrage d’Ubuntu avec une installation Windows existante. Il y a aussi une option pour crypter votre installation Ubuntuin, mais seulement si vous effacez tout et installez ubuntu. Il n’y a pas de moyen automatique d’installer Ubuntu avec Windows 10 avec cryptage. Et bien qu’il existe de nombreux tutoriels pour le double démarrage d’Ubuntu et de Windows, beaucoup d’entre eux sont dépassés – faisant souvent référence à une table de partition MBR – et presque aucun d’entre eux ne semble aborder le cryptage de votre partition Ubuntu.

Le double démarrage avec un stockage crypté ne devrait pas être aussi difficile en 2020.

Moi, tout en cherchant comment faire cela.

En réalité, une fois que vous avez compris, ce n’est pas si difficile. Le truc délicat, c’est que ce n’est bien documenté nulle part ! J’espère donc corriger cela avec ce billet de blog tutoriel. Honnêtement, si vous en savez assez sur Ubuntu pour configurer un dual-boot avec Windows, c’est seulement un peu plus difficile de le faire avec le cryptage.J’ai préparé ce tutoriel sur un Dell Latitude e7450, et je l’ai affiné quand je l’ai testé sur mon Dell Precision 5510. Il devrait donc fonctionner avec presque nomodification sur la plupart des systèmes Dell, et avec seulement des modifications mineures(notamment autour de la configuration du BIOS) sur la plupart des autres types d’ordinateurs.

Pour écrire ce guide, j’ai compilé des informations provenant de plusieurs sources. Voici certaines des références les plus utiles que j’ai trouvées :

• XPS 15 9560 Dual-Boot avec notes de chiffrement,par luispabon. J’ai suivi ces notes d’assez près, mais j’ai modifié certaines tailles et certains noms de partition en me basant sur d’autres guides.
• Le XPS 15 9570 Dual-Boot with Encryption Notes,par mdziekon, sur lequel est basé ce qui précède.
• Le Full Disk Encryption HowTo 2019,du Ubuntu Community Wiki. Il s’agit d’une excellente ressource, mais qui traite du cryptage sans double démarrage.
• Cryptage manuel du système complet,du Wiki de la communauté Ubuntu. C’est plus long, et n’est pas axé sur ledual-booting, mais fournit d’excellents détails sur la façon dont certaines choses fonctionnent.

Il convient de noter que cette méthode ne chiffre pas /boot. Bien qu’il y ait des raisons valables pour crypter /boot, l’installateur graphique ne le crypte paslorsque vous faites une installation graphique avec LUKS. En tant que tel, je me conforme à ce précédent, et garde la simplicité d’une partition /boot non chiffrée. Ainsi, le guide que j’ai compilé ci-dessous est juste à peu près la façon la plus simple d’avoir un chiffrement LUKSavec le dual-boot.

Pourquoi le chiffrement est important

J’ai commencé à utiliser un stockage chiffré sur tous mes ordinateurs personnels il y a 5 ou 6 ansaprès avoir remarqué que toutes les entreprises pour lesquelles j’avais travaillé l’exigeaient, et avaient de bonnes raisons de le faire. Les ordinateurs portables sont perdus et volés tout le temps. Ce sont des objets de grande valeur qui sont petits et faciles à transporter. Et quand un voleur s’empare de votre ordinateur portable, il y a des tonnes d’informations précieuses qu’il peut utiliser ou vendre. Même si vous utilisez un mot de passe pour vous connecter, il est facile pour un pirate d’accéder à vos données si votre disque n’est pas crypté, par exemple en utilisant une clé USB active. Et une fois qu’ils ont ces données, ils peuvent avoir accès aux comptes en ligne, aux relevés bancaires, aux e-mails et à des tonnes d’autres données. Pour moi, un disque dur crypté n’est plus optionnel – c’est une nécessité.

Un aperçu

Alors, qu’allons-nous faire ? Ce tutoriel vous aidera à mettre en place un système de double amorçage d’Ubuntu 20.04 et de Windows 10. (Je ne l’ai pas testé, mais cela devrait fonctionner avec la plupart des autres versions modernes (~16.04+) d’Ubuntu ou de Windows). Le système utilisera un disque dur GPT avec UEFI (votre BIOS doit supporter UEFI). La partition Ubuntu sera cryptée avec LUKS.1 La partition Windows peut éventuellement être cryptée avec BitLocker. Je vais garder l’installation Ubuntu aussi proche que possible d’une installation « par défaut » – pas de trucs fantaisistes comme une partition séparée/home, mais il devrait être assez facile d’ajouter cela vous-même si vous le voulez vraiment.

Je vais commencer avec un disque dur vierge, en installant à la fois Windows 10 et Ubuntuf à partir de zéro. Si vous avez déjà installé Windows et que vous voulez le garder, vousdevriez pouvoir réduire votre partition Windows au lieu d’effacer votre disque dur à la fin de la phase 1, et sauter entièrement la phase 2 (installation de Windows).Attention, lorsque vous nous rejoindrez en phase 3, vos numéros de partition pourraient être différents des nôtres, vous devriez donc exécuter sudo sgdisk --print /dev/sda pour vous assurer que vous comprenez votre table de partition.

Pour vous donner un aperçu général de ce vers quoi nous nous dirigeons, voici ce que nous allons faire :

1. Préparer le support d’installation et l’ordinateur
2. Installer Windows 10
3. Créer une partition chiffrée pour Ubuntu
4. Installer Ubuntu

Bien sûr, comme pour toute nouvelle installation de système d’exploitation, vous devez sauvegarder toutes les données importantes avant de procéder. Les instructions ci-dessous effaceront toutes les données de votre disque dur. Procédez à vos propres risques ; je ne suis pas responsable de tout dommage ou perte de données.

Phase 1 : Préparer le support d’installation et l’ordinateur

Puisque nous installons à la fois Windows 10 et Ubuntu à partir de zéro, nous aurons besoin d’une clé USB pour chacun. Si vous ne disposez pas déjà d’un ordinateur exécutant Ubuntu ou Windows, la fabrication du support d’installation sera un peu plus difficile – mais il existe des tutoriels pour cela et je vous laisse vous débrouiller tout seul.

1. Créer une clé USB Windows Installer. Le moyen le plus simple est d’utiliser l’outil de création de médias Windows10 à partir d’un ordinateur qui exécute déjà Windows.
2. Créer une clé USB Ubuntu 20.04. Le plus simple est de télécharger l’ISO et d’utiliser le Startup Disk Creator sur un ordinateur qui exécute déjà Ubuntu.

Génial ! Nous avons nos clés USB prêtes à l’emploi ! Une dernière chose avant de commencer – nous devons nous assurer que notre BIOS est configuré correctement. En particulier, nous voulons nous assurer que nous utilisons UEFI pour démarrer notre OS.2

1. Vérifiez que votre ordinateur exécute le dernier BIOS disponible. C’est importantcar un BIOS obsolète peut comporter des bogues, et ces bogues affectent parfois des éléments comme l’UEFI, les systèmes d’exploitation non Windows ou d’autres composants que nous allons aborder.
2. Modifiez les paramètres de votre BIOS. Les noms suivants sont probablement spécifiques au DellBIOS, mais d’autres fabricants auront des paramètres similaires.
   1. Sous General et Boot Sequence, assurez-vous que votre BootList Option est réglé sur UEFI.
   2. Sous General et Advanced Boot Options, j’ai désactivéLegacy Option ROMs. Il est important que les deux OS s’installent en mode UEFI.(Vous pouvez probablement l’activer une fois l’installation terminée si cela vous intéresse).
   3. Sous SecurityTPM Security doit être activé si vous voulez configurer facilement BitLocker dans Windows.
   4. J’ai désactivé Secure Boot. Je ne suis pas sûr que cela soit absolument nécessaire, et vous pouvez essayer de le laisser activé ou de le réactiver lorsque vous avez terminé si vous le souhaitez.

Maintenant que notre BIOS est configuré pour l’UEFI, nous allons configurer notre disque dur.

1. Effacer complètement votre disque dur et le configurer pour l’UEFI en faisant ce qui suit3.
   1. Démarrez votre clé USB Ubuntu et utilisez Try without installing.
   2. Ouvrez un terminal. Faites-le en plein écran tant que vous y êtes.
   3. Découvrez comment s’appelle votre disque dur principal. Ce sera probablement soit /dev/sda ou /dev/nvme0n1. Il est important de noter que ce n’est pas /dev/sda1 ou /dev/nvme0n1p1 – ce sont des partitions du disque. Une façon de savoir comment s’appelle la vôtre est d’exécuter lsblk et de regarder la taille du disque. Dans le reste de ce guide, je vais faire référence à /dev/sda. Si le vôtre n’est pas/dev/sda, remplacez /dev/sda par le vôtre (peut-être /dev/sdb ou/dev/nvme0n1) pour le reste de ce guide.

   4. Exécutez les commandes suivantes. Cela initialisera le lecteur comme un lecteur GPTet créera une partition système 550M EFI formatée en FAT32.

      $ sudo su# sgdisk --zap-all /dev/sda# sgdisk --new=1:0:+550M /dev/sda# sgdisk --change-name=1:EFI /dev/sda# sgdisk --typecode=1:ef00 /dev/sda# mkfs.fat -F 32 /dev/sda1

OK, la phase 1 est terminée. Nous avons notre support d’installation prêt à partir et le BIOS de l’ordinateur ainsi que le disque dur sont correctement configurés. Ensuite, nous allons installer Windows.

Phase 2 : installer Windows

Dans cette phase, nous allons installer Windows. Notez que lorsque nous faisons cela, nous allons laisser de l’espace non alloué pour installer Linux plus tard. C’est une bonne approche car l’installateur de Windows va un peu chambouler nos partitions, et il est plus facile de le laisser faire avant de finaliser nos partitions Linux.

1. Démarrez depuis votre clé USB d’installation de Windows.
2. Choisissez une Custom (advanced) installation pour accéder à l’outil de partitionnement de Windows.
3. Créez une nouvelle partition. La taille de cette partition doit correspondre à la quantité d’espace disque que vous voulez utiliser pour Windows. Dans cet exemple, j’ai fait 80G puisque le SSD de mon ordinateur est relativement petit. Si vous n’êtes pas sûr, faites environ la moitié de votre disque dur.
4. Windows vous préviendra qu’il va créer une partition système supplémentaire.C’est une bonne chose.4
5. Installer Windows sur la partition que vous venez de faire. Il n’est pas nécessaire de formater des partitions – le programme d’installation de Windows s’en chargera pour vous.
6. Lorsque l’installation de Windows est terminée, connectez-vous et activez BitLocker sur le disque C:. Cela créera automatiquement une autre partition sur votre disque(une partition de récupération Windows) – c’est pourquoi nous le faisons avant de partitionner pour Ubuntu.

À ce stade, vous pouvez commencer à utiliser Windows. Mais j’éviterais de faire trop de configurationou de personnalisation encore afin que vous n’ayez pas à le refaire si quelque chose ne va pas en bas. Si vous voulez vérifier à nouveau vos partitions, voici ce qu’il vous restera après avoir installé Windows et activé BitLocker :

ubuntu@ubuntu:~$ sudo sgdisk --print /dev/sdaDisk /dev/sda: 500118192 sectors, 238.5 GiBNumber Start (sector) End (sector) Size Code Name 1 2048 1128447 550.0 MiB EF00 EFI 2 1128448 1161215 16.0 MiB 0C01 Microsoft reserved ... 3 1161216 167825076 79.5 GiB 0700 Basic data partition 4 167825408 168900607 525.0 MiB 2700

Phase 3 : Partitionner le disque pour Ubuntu

C’est la phase la plus délicate puisque c’est ici que nous devons configurer manuellement nos disques chiffrés pour Ubuntu. Nous allons faire en sorte que cela fonctionne de manière très similaire à la façon dont le programme d’installation d’Ubuntu configurerait les choses si vous chiffriez votre disque entier.

Tout au long de cette section, je vais faire référence aux commandes sgdisk. Vous pourriez utiliser gdisk si vous êtes à l’aise avec elle et si vous voulez une interface interactive, ou vous pourriez utiliser GParted si vous préférez. Les commandes sgdisk sont juste plus faciles à référencer dans un tutoriel. Et encore une fois, je ferai référence à /dev/sda,mais il y a une chance que le vôtre soit nommé quelque chose comme /dev/nvme0n1 – continuez simplement à substituer ce que vous avez utilisé.

Si vous voulez, vous pouvez exécuter sudo sgdisk --print /dev/sda pour examiner la table de partition avant de continuer. Vous verrez plusieurs partitions créées par l’installateur Windows, et devriez voir un espace vide où nous sommes sur le point d’installer Ubuntu.

Maintenant, nous allons crypter notre partition de données Linux.

Maintenant, toutes nos partitions sont préparées. Ne vous arrêtez pas ici ! Passez à la phase suivante sans quitter l’environnement Ubuntu live.

Phase 4 : Installer Ubuntu

1. Lancez le programme d’installation d’Ubuntu depuis le Bureau, et choisissez Something else pour configurer vous-même les partitions.
   1. Utiliser notre partition ~768M comme ext4 avec le point de montage /boot

   .

   2. Utiliser /dev/mapper/ubuntu--vg-root comme ext4 avec point de montage /

   .

   3. Utiliser /dev/mapper/ubuntu--vg-swap_1 comme swap
   4. Le périphérique du chargeur de démarrage devrait être /dev/sda (bien qu’il semble que ce paramètre pourrait ne pas être réellement utilisé en mode UEFI)
2. Lorsque l’installateur est terminé, cliquez sur Continue Testing. Nous devons encore faire acouple chose avant de redémarrer.
3. Installer etc/crypttab. C’est ce qui vous permettra de déverrouiller votre disque crypté en tapant votre phrase de passe au démarrage.
   1. Recherchez l’UUID de la partition que vous avez mise en place avec LUKS : sudo blkid /dev/sda6

   2. S’introduire dans un chroot dans le système nouvellement installé :

      # mount /dev/mapper/ubuntu--vg-root /target# mount /dev/sda5 /target/boot# for n in proc sys dev etc/resolv.conf; do mount --rbind /$n /target/$n; done # chroot /target # mount -a

   Dans votre chroot (c’est-à-dire dans le même terminal), configurez /etc/crypttab.Utilisez votre éditeur préféré pour modifier ce fichier. Je vais utiliser vi. sudo vi /etc/crypttabSauvegarder le contenu du fichier suivant, en remplaçant l’UUID par l’UUID réel que vous avez trouvé ci-dessus.

   # <target name> <source device> <key file> <options># options used:# luks - specifies that this is a LUKS encrypted device# tries=0 - allows to re-enter password unlimited number of times# discard - allows SSD TRIM command, WARNING: potential security risk (more: "man crypttab")# loud - display all warningssda6_crypt UUID=abcdefgh-1234-5678-9012-abcdefghijklm none luks,discard

4. Exécuter ce qui suit pour appliquer les changements que vous venez de faire. (Toujours dans le chroot.)

   # update-initramfs -k all -c

Fait ! Félicitations, vous avez créé un système à double démarrage avec Ubuntu 20.04 etWindows 10 avec toutes vos données cryptées ! Maintenant que les deux installations sontfinies, vous pouvez redémarrer votre ordinateur.

Par défaut, votre ordinateur démarrera dans grub, qui peut démarrer Ubuntu. Bien queWindows soit répertorié dans grub, le démarrage de Windows à partir de grub avec BitLocker activéne fonctionnera pas car le TPM du système détectera un changement dans la séquence de démarrage.Pour éviter ce problème, vous devez démarrer Windows directement à partir du menu de démarrageBIOS de votre ordinateur – généralement accessible en appuyant sur F12 au démarrage.

À titre de référence, voici l’état final de mon disque dur (avec 2 volumes logiques sur la partition rootfs pour / et swap) :

$ sudo sgdisk --print /dev/sdaDisk /dev/sda: 500118192 sectors, 238.5 GiB Number Start (sector) End (sector) Size Code Name 1 2048 1128447 550.0 MiB EF00 EFI 2 1128448 1161215 16.0 MiB 0C01 Microsoft reserved ... 3 1161216 167825076 79.5 GiB 0700 Basic data partition 4 167825408 168900607 525.0 MiB 2700 5 168900608 170473471 768.0 MiB 8301 /boot 6 170473472 500118158 157.2 GiB 8301 rootfs

J’espère que vous avez trouvé ce guide utile, et j’espère que le chiffrement de disque complet avec Ubuntub devient plus populaire et mieux supporté en conséquence !

.