Guide d'installation d'Ubuntu dans une partition Btrfs chiffrée

Le système de fichiers Btrfs

Btrfs est l'un des systèmes de fichiers les plus avancés disponibles actuellement sous Linux. Il offre de nombreuses fonctionnalités, comme la copie sur écriture, la gestion de sous-volumes, la possibilité de prendre des snapshots, la compression sélective des données,... Il ne gère par contre pas le chiffrement, c'est pourquoi nous allons utiliser un volume LUKS pour pallier à ce manque.

Si vous souhaitez en apprendre davantage sur Btrfs, je vous invite à lire mon précédent article : « Btrfs : révolution ou catastrophe ? Où en est-on aujourd'hui ? ».

Volume chiffré (LUKS)

LUKS, pour Linux Unified Key Setup spécifie une manière de chiffrer une partition ou un disque. Sous Linux, il est implémenté à travers dm-crypt.

Le fonctionnement de LUKS est relativement simple. Lors de la création d'un volume chiffré, une clef principale est générée ; elle servira à chiffrer l'ensemble des données du volume. Cette clef est elle-même chiffrée à l'aide d'un mot de passe spécifié par l'utilisateur. Lorsque l'on veut accéder à un volume LUKS, un mot de passe nous est donc demandé. Ce mot de passe est utilisé pour déchiffrer la clef principale, qui donne alors accès aux données.

Ce système de double clef est très intéressant car il permet de modifier le mot de passe de l'utilisateur sans avoir besoin de rechiffrer (et donc de réécrire) tout le disque. Seule la clef principale a besoin d'être rechiffrée avec le nouveau mot de passe, ce qui est quand même beaucoup plus rapide. 😁️

Il est de plus possible de disposer de plusieurs mots de passe distincts pour déchiffrer la même partition (jusqu'à 8 pour être précis). Ça peut être pratique si plusieurs utilisateurs ont besoin d'accéder au même volume, ou dans le cas d'une entreprise, pour que le service informatique dispose d'une clef de secours au cas où l'utilisateur perdrait son mot de passe. 🙃️

Je ne vous en dis pas plus sur LUKS pour cette fois-ci, mais si le sujet vous intéresse, n'hésitez pas à me le signaler, j'en ferai peut-être un article plus tard. 😃️

Lister les sous-volumes

Pour lister l'ensemble des sous-volumes existants, vous pouvez utiliser la commande suivante :

$ sudo btrfs subvolume list /

ID 256 gen 117 top level 5 path @
ID 257 gen 117 top level 5 path @home

Le dernier paramètre, "/", est le chemin vers un système de fichiers Btrfs. En gros ça marchera du moment que le chemin que vous indiquez se trouve sur un système de fichiers Btrfs (vous pouvez essayer avec "/var" par exemple), et cela échouera dans le cas contraire (vous pouvez essayer avec "/proc" si vous voulez tester).

Créer un sous-volume

Pour créer un sous-volume, la commande à utiliser est la suivante :

$ cd /home/flozz
$ btrfs subvolume create @example

Create subvolume './@example'

Ici, le sous-volume "@example" sera créé dans le dossier courant, c'est-à-dire dans mon dossier personnel.

Relistons les sous-volumes pour vérifier :

$ sudo btrfs subvolume list /

ID 256 gen 128 top level 5 path @
ID 257 gen 128 top level 5 path @home
ID 263 gen 128 top level 257 path @home/flozz/@example

On peut constater ici qu'un sous volume "@example" a été créé dans le dossier "flozz/" à l'intérieur du sous-volume "@home".

Supprimer un sous-volume

Pour supprimer un sous-volume, il y a deux possibilités : passer par la commande btrfs ou utiliser un bon vieux rm.

Avec la commande btrfs :

$ cd /home/flozz
$ sudo btrfs subvolume delete @example

Delete subvolume (no-commit): '/home/flozz/@example'

Avec rm :

$ cd /home/flozz
$ rm -r @example

Dans tous les cas, on peut constater que notre sous-volume a bien été supprimé :

$ sudo btrfs subvolume list /

ID 256 gen 128 top level 5 path @
ID 257 gen 128 top level 5 path @home

Déplacer un sous-volume

Tout comme un dossier standard, un sous-volume peut être renommé ou déplacé à l'aide de la commande mv :

$ cd /home/flozz
$ mv @example @nouveau-nom

Et encore une fois, on peut vérifier que ça a bien marché en listant les sous-volumes :

$ sudo btrfs subvolume list /

ID 256 gen 144 top level 5 path @
ID 257 gen 144 top level 5 path @home
ID 266 gen 138 top level 257 path @home/flozz/@nouveau-nom

On a fait le tour des principales choses à savoir sur les sous-volumes et leur manipulation. Si vous voulez en apprendre davantage, vous pouvez lire la documentation officielle de Btrfs.

Créer un snapshot

Prenons un exemple concret : imaginons que je veuille mettre à jour mon Ubuntu vers la version suivante. Avant de me lancer dans la migration, qui pourrait échouer pour une raison ou pour une autre, je vais créer un instantané du système.

Pour commencer je vais monter le sous-volume par défaut pour accéder au sous-volume "@" qui contient mon système :

$ sudo mount /dev/mapper/sda3_crypt /mnt

Puis je vais créer le snapshot à l'aide de la commande suivante :

$ sudo btrfs subvolume snapshot /mnt/@ /mnt/@.backup

Create a snapshot of '/mnt/@' in '/mnt/@.backup'

Si on veut s'assurer que l'instantané a bien été créé, il suffit de lister les sous-volumes :

$ sudo btrfs subvolume list /

ID 256 gen 169 top level 5 path @
ID 257 gen 159 top level 5 path @home
ID 268 gen 168 top level 5 path @.backup

Je peux à présent procéder sereinement à ma migration.

Restaurer un snapshot

Imaginons maintenant que les choses aient mal tourné et que je souhaite revenir en arrière. Pour restaurer un snapshot, il suffit de remplacer le sous-volume d'origine par son snapshot.

Comme tout à l'heure, on commence par monter le sous-volume par défaut :

$ sudo mount /dev/mapper/sda3_crypt /mnt

Puis il suffit de bouger les « dossiers » avec la commande mv :

$ mv /mnt/@ /mnt/@.a-jetter
$ mv /mnt/@.backup /mnt/@

Snapshots et sous-volumes imbriqués

Comme je vous l'ai dit lorsque l'on a abordé les sous-volumes de Btrfs, il est possible de créer des sous-volumes dans des sous-volumes. Il y a cependant un petit détail a savoir au sujet des snapshots dans ce genre de configurations.

Si vous avez un sous-volume @A qui contient un sous-volume @B et que vous faites un instantané de @A, le sous-volume @B qu'il contient ne fera pas partie du snapshot. Il sera remplacé par un dossier vide. Les sous-volumes agissent comme des « barrières » pour les snapshots.

Voilà, c'était un petit détail qu'il me semblait important de mentionner pour vous éviter de mauvaises surprises. 😁️

Pour plus d'information à ce sujet, vous pouvez consulter la documentation de Btrfs.

Timeshift : un outil bien pratique

Timeshift est un outil graphique pour manipuler et automatiser la prise de snapshots. Il est disponible dans les dépôts, et peut donc être installé avec la commande suivante :

$ sudo apt install timeshift

Au premier démarrage, Timeshift affichera un assistant de configuration. On peut globalement laisser les paramètres par défaut qui devraient convenir à la plupart des situations :

• Type d'instantané : BTRFS (1).
• Emplacement des instantanés : dans mon cas il s'agit de "dm-0" ("/dev/dm-0" est en effet un alias pour "/dev/mapper/sda3_crypt") (2).
• Niveaux des instantanés : Par défaut Timeshift va créer un instantané par jour et conserver les 5 derniers. Il sera donc possible de remonter jusqu'à 5 jours en arrière. Vous pouvez configurer selon vos préférences ou décocher tout si vous ne souhaitez pas qu'il effectue automatiquement de snapshots (3).
• Et lors de la dernière étape, il est possible d'indiquer à Timeshift s'il doit également sauvegarder les données des utilisateurs (le sous-volume "@home") lorsqu'il fait des instantanés. Par défaut il ne prend en compte que le système (sous-volume "@") (4).

Une fois configuré, on arrive devant l'interface principale de Timeshift qui permet de gérer les instantanés et d'en prendre manuellement au besoin :

Si vous vous demandez où Timeshift sauvegarde ses instantanés, sachez qu'ils sont rangés dans le dossier "/timeshift-btrfs/snapshots/" situé dans le sous-volume par défaut de la partition Btrfs.

On peut les voir en naviguant dans ce dossier :

$ sudo mount /dev/mapper/sda3_crypt /mnt
$ cd /mnt/timeshift-btrfs/snapshots
$ ls -l

drwxr-xr-x 1 root root 20 juin   7 13:38 2022-06-07_13-38-01

$ ls -l 2022-06-07_13-38-01/

drwxr-xr-x 1 root root 188 juin   6 13:23 @            # <-- instantané du système
-rw-r--r-- 1 root root 414 juin   7 13:38 info.json    # <-- métadonnées de Timeshift

On peut également les afficher en listant les sous-volumes :

$ sudo btrfs subvolume list /

ID 257 gen 212 top level 5 path @home
ID 268 gen 213 top level 5 path @
ID 269 gen 207 top level 5 path timeshift-btrfs/snapshots/2022-06-07_13-38-01/@

Optimisation : désactiver l'access time (noatime)

Sous Linux, plusieurs horodatages sont enregistrés pour chaque fichier :

• mtime (modify time) : la date de la dernière modification des données contenues dans le fichier,
• ctime (change time) : la date de la dernière modification des données ou des métadonnées associées au fichier (permission, propriétaire, groupe,...),
• atime (access time) : la date du dernier accès au fichier (lire le contenu du fichier provoque donc une mise à jour de cet horodatage),
• crtime (creation time) : la date de création du fichier. Cet horodatage a été introduit plus récemment que les autres et n'est pas donc pas disponible sur l'ensemble des systèmes de fichiers (mais il l'est sur Ext4 et Btrfs notamment).

Ici on va s'attarder sur l'horodatage atime, qui peut nous causer divers soucis.

Premièrement, le simple fait de lire un fichier va provoquer une écriture sur le disque, ce qui réduit les performances globales, quel que soit le système de fichiers utilisé.

Ensuite, en raison de son mécanisme de copie sur écriture et de ses snapshots, Btrfs a un problème bien plus grave avec atime : dans certaines circonstances, lire un fichier peut consommer de l'espace disque supplémentaire. Oui, vous avez bien lu ! 😵️

Certains diront que cette problématique a été réduite depuis que les systèmes de fichiers sont montés avec l'option "reltime" par défaut. Cette option fait en sorte que l'horodatage atime d'un fichier ne soit écrit, au maximum, qu'une seule fois par jour (si le fichier n'a pas été modifié). Ça limite surtout les problèmes de performance en lecture des fichiers auxquels on accède fréquemment, mais ça ne résout en rien la consommation supplémentaire d'espace disque présentée ci-dessus.

Étant donné que cette métadonnée est la plupart du temps inutile (dans les faits seuls de très rares logiciels, comme le client email Mutt, en ont réellement besoin), le mieux à faire est de la désactiver.

Pour cela, il suffit de rajouter "noatime" aux options de montage dans le fichier "/etc/fstab", ce qui donne chez moi :

# <file system>         <mount point>  <type>  <options>                      <dump>  <pass>
/dev/mapper/sda3_crypt  /              btrfs   defaults,noatime,subvol=@      0       1
/dev/mapper/sda3_crypt  /home          btrfs   defaults,noatime,subvol=@home  0       2

# ..................................................... ↑↑↑↑↑↑↑↑

(Je n'ai conservé que les lignes intéressantes dans l'exemple ci-dessus.)

Pour appliquer immédiatement les changements sans avoir à redémarrer, vous pouvez utiliser la commande suivante :

$ sudo mount -a -o remount

Sources :

• La documentation de Btrfs,
• L'article « Atime and btrfs: a bad combination? » de LWN.net.

Faire fonctionner le fichier d'échange (swapfile)

Comme je vous l'ai indiqué lors de l'installation d'Ubuntu, si on ne crée aucune partition swap, Ubuntu nous créera automatiquement un fichier swap à la place. On peut le trouver à la racine de notre système de fichiers :

$ ls -lh /swapfile

-rw------- 1 root root 461M mai   31 13:58 swapfile

On peut également constater sa présence dans le fichier "/etc/fstab" :

# <file system>  <mount point>  <type>  <options>  <dump>  <pass>
/swapfile        none           swap    sw         0       0

Cependant, si on regarde les swaps actifs, on se rend compte qu'il n'y en a aucun :

$ cat /proc/swaps

Filename             Type  Size    Used  Priority

Et si on essaye d'activer manuellement notre fichier d'échange, cela échoue lamentablement :

$ sudo swapon -a

swapon: /swapfile : échec de swapon: Argument invalide

Mais que se passe-t-il donc ? L'utilisation d'un fichier swap est-elle possible avec une partition Btrfs ?

Oui, il est possible d'utiliser un fichier swap avec Btrfs, mais il y a quelques contraintes à respecter pour que cela puisse fonctionner... Et visiblement l'installateur d'Ubuntu n'est pas très au point de ce côté-là. On va donc devoir faire le travail nous-mêmes. 😅️

Pour commencer, vous pouvez supprimer le fichier swap créé par Ubuntu, car il prend de la place et ne nous sert à rien :

$ sudo rm /swapfile

Ensuite, on va créer un sous-volume pour contenir notre fichier d'échange. Ceci est nécessaire, car lorsque le swapfile sera en cours d'utilisation, il ne sera plus possible de snapshoter le sous-volume qui le contient. On va donc l'isoler dans un sous-volume dédié.

On monte donc le sous-volume par défaut :

$ sudo mount /dev/mapper/sda3_crypt /mnt

Et on crée le sous-volume pour le fichier swap :

$ sudo btrfs subvolume create /mnt/@swap

On désactive ensuite la copie sur écriture sur tout le « dossier », de manière à ce que les fichiers que l'on va créer dedans aient également cette fonctionnalité désactivée :

$ sudo chattr +C /mnt/@swap

On peut maintenant recréer le fichier swapfile dans notre sous-volume :

$ sudo fallocate -l 100M /mnt/@swap/swapfile

On corrige ensuite ses permissions, car le fichier d'échange ne doit être accessible que par l'utilisateur root :

$ sudo chmod 600 /mnt/@swap/swapfile

Et enfin, on le formate :

$ sudo mkswap /mnt/@swap/swapfile

Le fichier d'échange est maintenant prêt, il ne nous reste plus qu'à configurer le système pour monter le sous-volume "@swap" quelque part et utiliser le fichier qui s'y trouve comme espace d'échange.

Pour ce faire, on commence par créer un dossier vide qui servira de point de montage :

$ sudo mkdir /swap

Puis on édite le fichier "/etc/fstab", dans lequel il faudra remplacer la ligne qui commence par "/swapfile" par celles-ci :

# <file system>         <mount point>  <type>  <options>                                <dump>  <pass>
/dev/mapper/sda3_crypt  /swap          btrfs   defaults,noatime,nodatacow,subvol=@swap  0       2
/swap/swapfile          none           swap    sw                                       0       0

Pour tester que tout fonctionne, on a plus qu'à monter notre sous-volume "@swap" à l'aide de la commande suivante :

$ sudo mount -a

Et à activer le fichier d'échange :

$ sudo swapon -a

Si tout s'est bien passé, on devrait maintenant voir notre swapfile listée dans "/proc/swaps" :

$ cat /proc/swaps

Filename        Type  Size    Used  Priority
/swap/swapfile  file  102396  0    -2

Si vous souhaitez en apprendre davantage sur l'utilisation d'un swapfile avec Btrfs, je vous invite à lire la documentation officielle.

Méthode graphique

Il est possible de monter le volume LUKS en quelques clics depuis le navigateur de fichier Nautilus :

• Ouvrez le navigateur de fichier Nautilus,
• cliquez ensuite sur « Autres emplacements »,
• puis sur le volume chiffré (« 10 GB Encrypted » dans mon cas).

Il ne vous reste plus qu'à entrer votre mot de passe pour déverrouiller le volume chiffré.

Méthode en ligne de commande

Si vous n'avez pas accès à Nautilus ou que vous préférez la ligne de commande, ce n'est pas beaucoup plus compliqué :

• il faudra d'abord ouvrir le volume chiffré,
• puis monter la partition qui s'y trouve.

Pour déverrouiller le volume chiffré, utilisez la commande suivante :

$ sudo cryptsetup luksOpen /dev/sda3 sda3_crypt

où :

• "/dev/sda3" est votre partition chiffrée,
• "sda3_crypt" est un nom arbitraire qui vous permettra d'accéder au volume déchiffré par la suite.

Et pour monter la partition Btrfs, on utilise tout simplement la commande mount :

$ sudo mount /dev/mapper/sda3_crypt /mnt

                         ↑↑↑↑↑↑↑↑↑↑
                   nom que vous avez indiqué
                 lors de la commande précédente

Et voilà, c'est tout ! 😁️