В каком порядке нужно создавать таблицу разделов и контейнер luks?

Сначала таблицу разделов, потом luks. На эту тему есть много манов.

Можно шифровать устройство целиком, а внутри создавать разделы с фс - https://gitlab.com/cryptsetup/cryptsetup/-/wikis/FrequentlyAskedQuestions#2-setup

ТС, все зависит от того, что ты хочешь получить. Если тебе на флешке кроме зашифрованного не нужно незашифрованное, то можешь делать шифрование всей флешки. Если нужно незашифрованное, то сначала таблица разделов, потом разделы, потом шифрование нужного раздела.

На эту тему есть много манов.

В некоторых местах делают так, а в некоторых даже не упомянают, поэтому собственно и спрашиваю т.к непонятно.

Вот еще непонятно, что выбрать для очистки:

1. Забить нулями dd if=/dev/zero of=/dev/sdX
2. Забить рандомами dd if=/dev/urandom of=/dev/sdX
3. Создать контейнер и стереть заголовок cryptsetup luksFormat /dev/sdX и cryptsetup erase /dev/sdX

???

Какие проблемы я могу поиметь если лукс накачу без таблицы?

И да я всю флешку хочу зашифровать.

Какие проблемы ты найдешь, никто заранее не знает. Попробуй, если не устроит, перейдешь на классическую таблицу + шифрованные разделы. В пользу последнего варианта говорит то, что такой вариант используют по умолчанию дистры, которые шифруют систему при установке. В них всегда сначала таблица, потом разделы, потом шифрование раздела(-ов).

Да, в случае флэшки можно создать таблицу внутри контейнера. В этом случае флэшка будет полностью зашифрована (впрочем, как и в обратном случае).

Для очистки можно выбрать любой способ, в особенности если флэшка будет занята файлами на 70% и более.

В теории, некоторые дистры и в особенности винда могут предложить отформатировать флэшку. Если прощелкать этот момент, то будет затерт заголовок шифрованного раздела и данные на нем будут наверняка утеряны.

Бэкапы – наше все!

Всех благодарю!

Еще один момент: нужно ли после создания контейнера забивать его нулями/рандомами?

После создания не нужно, так как забивание нулями или рандомом внутри просто приведёт к забивпнию рандомом с внешней стороны контейнера. Это бессмысленно если забивание с внешней стороны было выполнено перед созданием контейнера.

есть такая утилита shred

В пользу последнего варианта говорит то, что такой вариант используют по умолчанию дистры, которые шифруют систему при установке. В них всегда сначала таблица, потом разделы, потом шифрование раздела(-ов).

они так делают потому что раздел uefi с загрузчиком и ядром нужно оставлять открытыми что бы систему загрузить.

Да, так и есть. И этот вариант оттестирован.

тут не в тестировании дело а в том что именно нужно. шифрование полного диска работает точно так же как и шифрование разделов, нет разницы какое блочное устройство шифровать

шифрование полного диска работает точно так же как и шифрование разделов, нет разницы какое блочное устройство шифровать

Если ты знаешь изнутри все подробности, то спасибо за инфу, буду знать.

Благодарю за разъяснения!