Cómo crear una unidad USB cifrada en Ubuntu

Introducción

El cifrado de datos se ha vuelto una prioridad para usuarios y organizaciones tras las revelaciones sobre vigilancia masiva. Además de teléfonos y portátiles, las unidades USB son dispositivos muy usados que con frecuencia no están cifrados. Este artículo explica paso a paso cómo crear una unidad USB cifrada en Ubuntu usando la interfaz gráfica (Discos) y ofrece alternativas, comprobaciones y buenas prácticas.

Definiciones rápidas:

• LUKS: formato estándar para cifrado de disco en Linux.
• cryptsetup: herramienta para gestionar contenedores LUKS.

Requisitos previos

Antes de crear una unidad USB cifrada necesitas instalar la utilidad cryptsetup en tu sistema Ubuntu. Ejecuta en una terminal:

sudo apt-get update && sudo apt-get install -y cryptsetup

Nota: también puedes descargar la versión más reciente desde la web oficial de cryptsetup si necesitas una versión específica.

Advertencia importante

IMPORTANTE: El proceso de cifrado formatea la unidad USB y borra todos los datos. Haz una copia de seguridad de cualquier archivo importante antes de continuar. Si el dispositivo tiene información sensible, asegúrate de copiarla a un almacenamiento seguro o a otro medio cifrado.

Proceso paso a paso usando Discos (GUI)

1. Conecta la unidad USB al equipo.
2. Abre la utilidad Discos (puede aparecer como “Discos” o “Disks” en tu entorno de escritorio). Selecciona la unidad USB en la lista de dispositivos.

3. Selecciona la partición relevante en la columna derecha. Haz clic en el icono “Detener” (o “Desmontar partición”) justo debajo de la partición; el botón cambiará a un icono de “Reproducir” cuando esté desmontada.

4. Haz clic en el icono de engranaje en la misma línea y selecciona la opción “Formatear”.

5. En la ventana de formato, elige un método de borrado (las opciones de borrado lento son más seguras si quieres asegurarte de que los datos previos no sean recuperables). En Tipo selecciona “Cifrado, compatible con sistemas Linux (LUKS + Ext4)”.

6. Introduce un nombre para el volumen y una contraseña segura (se te pedirá que la confirmes en el siguiente campo). Mantén una contraseña larga y única: preferiblemente una frase de contraseña (passphrase) de 12+ caracteres con variedad.

7. Haz clic en “Formatear” y confirma la acción en el diálogo de confirmación.

8. El proceso de formateo y cifrado puede tardar según la opción de borrado seleccionada y la velocidad de la unidad. Cuando termine, extrae la unidad y vuelve a conectarla.

9. Al reconectar, el sistema te pedirá la contraseña para abrir el volumen cifrado. Si puedes montar y escribir archivos, el cifrado se ha realizado correctamente.

Comprobaciones y criterios de aceptación

• Tras volver a insertar la unidad, el sistema solicita la contraseña LUKS para abrirla.
• Puedes crear, leer y borrar archivos en el volumen montado.
• Si introduces una contraseña incorrecta, el volumen no se monta.
• La unidad ya no aparece como volumen legible hasta que se ingrese la contraseña.

Alternativas y escenarios en los que el método GUI falla

• Si necesitas compatibilidad con Windows/macOS sin herramientas adicionales, considera VeraCrypt (acepta volúmenes multiplataforma) o crear un contenedor VeraCrypt en lugar de LUKS.
• En servidores o entornos sin GUI, usa cryptsetup desde la línea de comandos.
• Si la unidad es muy antigua o el firmware mal implementado, el formateo/cifrado puede fallar: prueba con otra unidad o con utilidades de bajo nivel.

Uso de cryptsetup desde la terminal (opción avanzada)

Si prefieres la línea de comandos o necesitas automatizar, puedes crear un volumen LUKS con:

sudo cryptsetup luksFormat /dev/sdX1
sudo cryptsetup luksOpen /dev/sdX1 secureusb
sudo mkfs.ext4 /dev/mapper/secureusb
sudo cryptsetup luksClose secureusb

Sustituye /dev/sdX1 por la partición correcta. Estos comandos sobrescriben datos: realiza primero una copia de seguridad.

Buenas prácticas de seguridad y mantenimiento

• Elige una contraseña fuerte y única; si la olvidas no hay forma práctica de recuperar los datos.
• Haz copia de seguridad del encabezado LUKS con:

sudo cryptsetup luksHeaderBackup /dev/sdX1 --header-backup-file ~/luks-header-backup.img

Con un encabezado corrupto, sin esta copia podrías perder el acceso incluso con la contraseña correcta.

• Considera usar la opción de borrado lento para evitar recuperación forense de datos previos.
• Actualiza regularmente tu sistema y cryptsetup para corregir vulnerabilidades.
• No compartas la contraseña por canales inseguros.

Consideraciones sobre compatibilidad y privacidad

• Volúmenes LUKS funcionan bien en Linux; en Windows necesitarás herramientas de terceros para montarlos.
• El cifrado protege contra el acceso directo al contenido si el dispositivo se pierde o es robado, pero no sustituye a buenas prácticas de backup ni a políticas de retención de datos cuando hay requisitos legales.

Checklist por rol

Para usuarios finales:

• Hacer copia de seguridad de los datos actuales.
• Instalar cryptsetup.
• Formatear y cifrar desde Discos o CLI.
• Guardar la contraseña en un gestor seguro.

Para administradores TI:

• Definir política de contraseñas y longitud mínima.
• Planificar respaldo del encabezado LUKS y pruebas de restauración.
• Documentar compatibilidad con estaciones de trabajo cliente.

Pruebas y casos de uso

• Caso: Unidad recién formateada. Paso: reconectar y montar. Resultado esperado: petición de contraseña y acceso tras autenticación.
• Caso: Contraseña incorrecta. Resultado: volumen no montado.
• Caso: Encabezado corrupto y copia disponible. Resultado: restauración desde copia y acceso validado.

Glosario breve

• LUKS: Estándar de cifrado en discos para Linux.
• cryptsetup: Herramienta para crear y gestionar volúmenes LUKS.
• Partición: Porción identificada del disco que se puede formatear.
• Formatear: Preparar el disco con un sistema de archivos, elimina datos anteriores.

Resumen

Cifrar una unidad USB en Ubuntu es accesible y efectivo para proteger datos sensibles. Usa la utilidad Discos para un flujo guiado o cryptsetup en la terminal para automatización. Siempre haz copia de seguridad de tus datos y del encabezado LUKS, elige contraseñas fuertes y verifica compatibilidades si necesitas usar la unidad en otros sistemas operativos.

Notas finales: El cifrado añade una ligera sobrecarga en rendimiento, pero la protección de los datos suele justificarla. Si necesitas compatibilidad multiplataforma nativa, valora alternativas como VeraCrypt.