Cifrado y encriptación en Linux: herramientas esenciales para proteger archivos, discos, backups y comunicaciones

El cifrado en Linux es una de las prácticas más importantes para proteger información personal, empresarial y técnica. En un mundo donde las filtraciones de datos, el robo de equipos, los accesos no autorizados, el espionaje digital y los ataques contra infraestructura son cada vez más comunes, cifrar archivos, discos, copias de seguridad y comunicaciones ya no es una opción avanzada: es una medida básica de seguridad.

Aunque muchas personas usan la palabra encriptación, el término técnico más correcto en español es cifrado. Ambos conceptos se usan con frecuencia para referirse al proceso de transformar información legible en datos protegidos mediante algoritmos criptográficos. En la práctica, lo importante es entender qué proteger, contra qué amenaza y con qué herramienta.

¿Qué es el cifrado y por qué importa en Linux?

El cifrado convierte información legible en datos que solo pueden recuperarse con una clave, contraseña o llave privada. Su objetivo principal es proteger la confidencialidad: impedir que una persona no autorizada pueda leer la información aunque consiga copiar el archivo, robar el disco o acceder al medio de almacenamiento.

En Linux, el cifrado se aplica en varios niveles. Puede proteger un disco completo, una partición, una carpeta, un archivo individual, un backup, una comunicación, una clave SSH, un correo electrónico o incluso secretos usados en automatización. La elección correcta depende del escenario.

Cifrado en reposo, en tránsito y de extremo a extremo

No todo cifrado protege lo mismo. El cifrado en reposo protege datos almacenados en discos, particiones, archivos o backups. El cifrado en tránsito protege datos mientras viajan por una red, por ejemplo mediante TLS. El cifrado de extremo a extremo busca que solo emisor y receptor puedan leer el contenido, incluso si pasa por servidores intermedios.

En Linux, herramientas como LUKS, cryptsetup, VeraCrypt y fscrypt se enfocan principalmente en datos en reposo. GnuPG y age son útiles para cifrar archivos que se enviarán o almacenarán. OpenSSL puede utilizarse para operaciones criptográficas específicas. BorgBackup y Restic protegen copias de seguridad, especialmente cuando se guardan en servidores o almacenamiento no totalmente confiable.

1. LUKS y cryptsetup: cifrado completo de discos y particiones

LUKS, Linux Unified Key Setup, es una de las tecnologías más importantes para cifrado de discos en Linux. Se usa normalmente junto con cryptsetup, una utilidad que permite configurar, abrir, cerrar y administrar volúmenes cifrados. Es la opción recomendada para cifrar discos completos, particiones o dispositivos de almacenamiento.

Su ventaja principal es que protege los datos cuando el equipo está apagado o el disco ha sido retirado. Si alguien roba una laptop o extrae el SSD, no podrá leer el contenido sin la contraseña o clave de desbloqueo. Por eso, LUKS es una de las mejores defensas frente a pérdida o robo físico de equipos.

# Ejemplo básico para crear un volumen LUKS en una partición
sudo cryptsetup luksFormat /dev/sdX1

# Abrir el volumen cifrado
sudo cryptsetup open /dev/sdX1 volumen_seguro

# Crear sistema de archivos dentro del volumen abierto
sudo mkfs.ext4 /dev/mapper/volumen_seguro

2. GnuPG: cifrado y firma de archivos con OpenPGP

GnuPG, también conocido como GPG, es una herramienta clásica para cifrar y firmar archivos, mensajes y comunicaciones. Implementa el estándar OpenPGP y permite trabajar con criptografía de clave pública: una clave pública para cifrar o verificar firmas y una clave privada para descifrar o firmar.

GPG es especialmente útil cuando se quiere enviar un archivo cifrado a otra persona, firmar un documento, verificar autenticidad o proteger información que será almacenada o transferida. También se usa en muchos ecosistemas de software libre para firmar paquetes, repositorios y lanzamientos.

# Cifrar un archivo para un destinatario
gpg --encrypt --recipient Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo. documento.pdf

# Descifrar un archivo
gpg --decrypt documento.pdf.gpg > documento.pdf

# Cifrado simétrico con contraseña
gpg --symmetric archivo.txt

3. age: cifrado moderno, simple y directo para archivos

age es una herramienta moderna de cifrado de archivos que busca ser simple, segura y fácil de integrar en flujos UNIX. Su diseño evita muchas opciones complejas y se enfoca en claves pequeñas, comandos claros y uso sencillo desde terminal.

age resulta muy útil para desarrolladores, administradores y usuarios técnicos que desean cifrar archivos, backups pequeños, secretos de configuración o información que se compartirá con una clave pública. También se usa con herramientas de gestión de secretos como SOPS.

# Generar una clave age
age-keygen -o key.txt

# Cifrar un archivo para una clave pública age
age -r age1xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx archivo.txt > archivo.txt.age

# Descifrar un archivo
age --decrypt -i key.txt archivo.txt.age > archivo.txt

4. VeraCrypt: contenedores cifrados y compatibilidad multiplataforma

VeraCrypt es una herramienta de cifrado de discos y contenedores disponible para Linux, Windows y macOS. Su mayor valor está en la portabilidad: permite crear un contenedor cifrado que puede moverse entre sistemas operativos, siempre que se tenga VeraCrypt instalado y la contraseña correcta.

En Linux, VeraCrypt puede ser útil para usuarios que comparten información cifrada con equipos Windows o macOS, o que necesitan un volumen seguro portable. También permite cifrar particiones o dispositivos, aunque en Linux nativo suele recomendarse LUKS para integración profunda con el sistema.

5. fscrypt: cifrado por directorios en sistemas de archivos compatibles

fscrypt es una tecnología de cifrado a nivel de sistema de archivos. Permite cifrar directorios de forma transparente en sistemas compatibles, como ext4 y F2FS. A diferencia de LUKS, que protege un volumen completo, fscrypt permite aplicar cifrado a carpetas específicas.

Este enfoque es útil cuando se quiere proteger solo ciertos datos dentro de un sistema, por ejemplo carpetas personales, directorios de trabajo o información sensible dentro de un servidor. Sin embargo, requiere entender bien el sistema de archivos, la gestión de claves y las limitaciones de metadatos.

6. OpenSSL: caja de herramientas criptográficas para terminal

OpenSSL es una caja de herramientas criptográficas ampliamente utilizada en Linux y otros sistemas. Permite trabajar con certificados, claves, hashes, TLS y cifrado simétrico desde la línea de comandos. Es una herramienta poderosa, pero no siempre es la más amigable para usuarios finales.

OpenSSL puede usarse para tareas puntuales como generar hashes, crear claves, revisar certificados, probar conexiones TLS o cifrar archivos con algoritmos simétricos. Sin embargo, para cifrado habitual de archivos de usuario, herramientas como GnuPG o age suelen ofrecer una experiencia más directa y menos propensa a errores.

# Calcular hash SHA-256 de un archivo
openssl dgst -sha256 archivo.iso

# Cifrar un archivo con AES-256-CBC y PBKDF2
openssl enc -aes-256-cbc -pbkdf2 -salt -in archivo.txt -out archivo.txt.enc

# Descifrar el archivo
openssl enc -d -aes-256-cbc -pbkdf2 -in archivo.txt.enc -out archivo.txt

7. BorgBackup y Restic: copias de seguridad cifradas

Cifrar archivos no es suficiente si las copias de seguridad quedan expuestas. Por eso, herramientas como BorgBackup y Restic son importantes en Linux. Ambas están orientadas a crear backups eficientes y seguros, con cifrado integrado para proteger repositorios almacenados localmente o en destinos remotos.

BorgBackup destaca por deduplicación, compresión y cifrado autenticado. Restic se enfoca en simplicidad, portabilidad y respaldo hacia diferentes tipos de almacenamiento. En ambos casos, el objetivo es que los backups no sean legibles por terceros si se almacenan en servidores, discos externos o proveedores de nube.

# Ejemplo conceptual con restic
export RESTIC_REPOSITORY=/ruta/al/repositorio
restic init
restic backup /home/usuario/documentos

# Ejemplo conceptual con borg
borg init --encryption=repokey /ruta/al/repositorio
borg create /ruta/al/repositorio::backup-inicial /home/usuario/documentos

Comparativa de herramientas de cifrado en Linux

¿Qué herramienta elegir según el escenario?

La elección correcta depende del tipo de información y del riesgo. Para una laptop, lo más importante es cifrar el disco completo con LUKS. Para enviar un documento, GnuPG o age son mejores. Para una carpeta específica, fscrypt puede ser útil. Para un contenedor portable, VeraCrypt es práctico. Para backups, BorgBackup o Restic son opciones más completas.

Buenas prácticas para cifrar datos en Linux

El cifrado es poderoso, pero no corrige malas prácticas. Una contraseña débil, una clave perdida, un backup sin probar o un equipo desbloqueado pueden anular gran parte de la protección. Por eso, toda estrategia de cifrado debe ir acompañada de gestión de claves, copias de seguridad y políticas de acceso.

Errores comunes al usar cifrado en Linux

Uno de los errores más graves es creer que cifrar un archivo o disco lo vuelve invulnerable. El cifrado protege contra lectura no autorizada, pero no impide que un atacante borre datos, capture contraseñas con malware, acceda a un equipo ya desbloqueado o robe información mientras el usuario trabaja.

Cifrado no reemplaza copias de seguridad

Un punto fundamental: el cifrado protege la confidencialidad, pero no garantiza disponibilidad. Si pierdes la contraseña o la clave privada, los datos pueden quedar inaccesibles. Si el disco se daña, el cifrado no recuperará los archivos. Si un ransomware cifra datos ya desbloqueados, el cifrado previo no será suficiente para restaurarlos.

Por eso, toda estrategia seria debe combinar cifrado, backups, control de acceso, actualizaciones y monitoreo. En seguridad, una sola capa nunca es suficiente.

Flujo recomendado para una estrategia de cifrado en Linux

Una estrategia práctica puede organizarse por capas. Primero se protege el equipo completo, luego los archivos sensibles, después los backups y finalmente las comunicaciones o secretos técnicos. De esta manera, si una capa falla, las demás siguen reduciendo el riesgo.

Conclusión

Linux ofrece un ecosistema muy completo de herramientas de cifrado. LUKS y cryptsetup protegen discos y particiones; GnuPG permite cifrar y firmar archivos con OpenPGP; age simplifica el cifrado moderno de archivos; VeraCrypt facilita contenedores portables; fscrypt protege directorios específicos; OpenSSL sirve para operaciones criptográficas avanzadas; y BorgBackup o Restic permiten copias de seguridad cifradas.

La mejor herramienta no es siempre la más compleja, sino la que se ajusta al riesgo. Si el problema es el robo físico de una laptop, use LUKS. Si el problema es enviar un archivo sensible, use GnuPG o age. Si necesita compartir datos cifrados entre sistemas operativos, VeraCrypt puede ser más práctico. Si quiere proteger backups, use una herramienta diseñada para respaldos cifrados.