Jak szyfrować cały dysk w Windows i Linux, nie tracąc wydajności i nerwów

1. Najpierw decyzja: czy pełne szyfrowanie dysku jest ci w ogóle potrzebne

Pełne szyfrowanie dysku vs kontener – dwa różne narzędzia

Zanim zaczniesz kombinować z BitLockerem czy LUKS-em, odpowiedz sobie na pierwsze pytanie: co dokładnie chcesz chronić i przed kim. Od tego zależy, czy szyfrować cały dysk, czy wystarczy zaszyfrowany kontener lub katalog domowy.

Pełne szyfrowanie dysku (FDE – Full Disk Encryption) oznacza, że wszystko na dysku jest zaszyfrowane: system, pliki, plik wymiany, hibernacja, katalogi tymczasowe. Dane są odczytywane dopiero po podaniu hasła (lub odblokowaniu TPM) podczas startu systemu. Bez tego klucza nawet wyjęcie dysku i podłączenie go do innego komputera nic nie daje.

Kiedy wystarczy kontener / zaszyfrowany katalog:

• Masz stacjonarkę, która stoi w jednym miejscu, w mieszkaniu z zamkiem i drzwiami antywłamaniowymi.
• Chcesz głównie chronić dokumenty, projekty, korespondencję, a nie przejmujesz się śladami z przeglądarki czy plikami tymczasowymi.
• Masz starszy, słaby komputer i boisz się spadku wydajności – wtedy lepiej zaszyfrować tylko to, co naprawdę wrażliwe.

Kiedy pełne szyfrowanie dysku ma największy sens:

• laptop, który często podróżuje, leży w plecaku, jeździ z tobą do pracy;
• komputer z danymi klientów (księgowość, dane osobowe, prywatne dokumenty firmowe);
• urządzenie, które bywa zostawiane bez nadzoru (biuro coworkingowe, domowy serwer w piwnicy).

Konsekwencje, o których lepiej wiedzieć przed startem

Pełne szyfrowanie dysku zmienia sposób startu komputera. Zwykle pojawia się dodatkowy krok: musisz podać hasło, PIN lub skorzystać z TPM/klucza USB, zanim system w ogóle się uruchomi. Bez tego nie ma „obejścia” – to jest cel, ale też ryzyko.

Konsekwencje są proste, choć często bagatelizowane:

• zapomnisz hasło – tracisz dane, chyba że masz klucz odzyskiwania i kopię zapasową,
• uszkodzony bootloader, awaria aktualizacji – bez nośnika ratunkowego naprawa jest mocno utrudniona,
• dokładnie to, co miało utrudnić dostęp złodziejowi, utrudni go również tobie, jeśli coś pójdzie nie tak.

Dla wielu użytkowników domowych lepszą ścieżką bywa start od zaszyfrowanego kontenera na dane (np. VeraCrypt), a dopiero po oswojeniu się z tematem – wejście w szyfrowanie całego dysku. Pełne szyfrowanie ma sens wtedy, gdy potencjalna kradzież lub zgubienie sprzętu jest realnym scenariuszem, a nie teoretycznym straszakiem.

Krótki przykład decyzji dla użytkownika domowego

Masz laptop z Windows 10 Home, używany głównie w domu, czasem zabierany na wakacje. Trzymasz tam zdjęcia rodziny, dokumenty urzędowe, trochę maili. Nie chcesz rezygnować z wygody, ale boisz się, że ktoś po kradzieży będzie miał dostęp do wszystkiego.

• Jeśli laptop rzadko opuszcza dom – rozsądna opcja to zaszyfrowany kontener VeraCrypt na wrażliwe pliki + dobry PIN do konta użytkownika.
• Jeśli często podróżujesz – warto przejść na pełne szyfrowanie: na Windows Pro skorzystać z BitLockera; na Windows Home rozważyć raczej nowy system (np. Pro) niż pełne szyfrowanie systemu przez VeraCrypt na siłę.

2. Zweryfikuj, czy sprzęt i system „udźwigną” szyfrowanie bez bólu

Najważniejsze elementy: CPU, AES-NI, dysk i RAM

Pełne szyfrowanie dysku to w praktyce dodatkowa warstwa obliczeń przy każdym odczycie i zapisie. Wydajność zależy głównie od:

• CPU i wsparcia AES-NI – nowoczesne procesory Intel/AMD mają sprzętowe instrukcje przyspieszające szyfrowanie AES; bez nich różnica wydajności może być wyraźna.
• typu dysku – na SSD (szczególnie NVMe) narzut szyfrowania jest zwykle trudny do zauważenia w codziennym użyciu; na starym HDD może być bardziej dotkliwy przy dużych kopiowaniach.
• ilości RAM – przy małej pamięci system częściej korzysta z pliku wymiany; szyfrowany swap trochę to obciąża, choć na SSD nadal jest to akceptowalne.

Jeśli masz komputer z ostatnich kilku lat, procesorem i5/Ryzen i dyskiem SSD, pełne szyfrowanie dysku zazwyczaj nie będzie realnym problemem wydajnościowym w pracy biurowej, przeglądaniu internetu czy nawet grach.

Jak sprawdzić AES-NI i wsparcie sprzętowe

Prosty test, zanim włączysz szyfrowanie:

• Windows:
  • Najprościej: użyj darmowego CPU-Z lub podobnego narzędzia – w zakładce instrukcje szukaj „AES”.
  • Można też zajrzeć do dokumentacji CPU (model procesora w Menedżerze zadań → wyszukiwarka → specyfikacja producenta).
• Linux:
  • Uruchom w terminalu: grep -i aes /proc/cpuinfo. Jeśli pojawią się linie z „aes”, procesor obsługuje instrukcje AES-NI.

Brak AES-NI nie przekreśla szyfrowania, ale zmienia rozsądną strategię. Na starszym laptopie z HDD i bez AES-NI lepiej np. zaszyfrować tylko /home albo użyć zaszyfrowanego kontenera, zamiast męczyć cały dysk systemowy.

Rola TPM w Windows – wygoda, ale nie konieczność

TPM (Trusted Platform Module) to chip, który przechowuje klucze szyfrowania i integruje się z BitLockerem. Daje dwie rzeczy:

• wygodę – system może startować bez wpisywania hasła, bo klucz jest w TPM,
• dodatkowe zabezpieczenie przed manipulacją przy rozruchu (np. podmiana bootloadera).

Częsta rada brzmi: „Nie masz TPM – nie używaj BitLockera”. W praktyce:

• Bez TPM nadal możesz użyć BitLockera, ale system poprosi o hasło lub PIN przy starcie. Z punktu widzenia bezpieczeństwa to sensowne i często nawet lepsze (kradzież samego laptopa nie wystarczy – potrzebne jest hasło).
• Z TPM rekomendowany wariant „bez nerwów” to: TPM + dodatkowy PIN przy starcie. To dobry kompromis między wygodą a bezpieczeństwem, szczególnie w laptopach służbowych.

Trzy typowe scenariusze wydajności

Dla szybkiej oceny sytuacji warto porównać się do jednego z poniższych scenariuszy:

Mit: „szyfrowanie zabija SSD”

Często powtarza się, że szyfrowanie drastycznie skraca żywotność SSD. W aktualnym sprzęcie to najczęściej mit. Co rzeczywiście ma znaczenie:

• włączona obsługa TRIM – większość nowoczesnych systemów (Windows 10+, współczesne dystrybucje Linux) obsługuje TRIM także na zaszyfrowanych woluminach,
• normalne użycie SSD – jeśli nie katujesz dysku ciągłym zapisem (bazy logów 24/7), dodatkowy narzut szyfrowania jest marginalny wobec pozostałych operacji.

Jeśli system i narzędzie szyfrowania pozwalają wybrać między sprzętowym szyfrowaniem dysku a programowym AES, częściej lepiej wybrać programowe (BitLocker z AES-XTS) – jest lepiej audytowane i przewidywalne niż zamknięte implementacje niektórych producentów SSD.

3. Minimalny plan zanim klikniesz „Szyfruj”

Lista kontrolna przed startem

Największy błąd przy szyfrowaniu całego dysku to traktowanie tego jak zwykłą zmianę ustawień. To operacja, która ingeruje w kluczowy fragment infrastruktury – w bootloader i sposób, w jaki system widzi dysk.

Krótka lista kontrolna przed rozpoczęciem szyfrowania:

• Aktualna kopia zapasowa na zewnętrznym dysku, NAS lub w chmurze (przynajmniej najważniejsze dane: dokumenty, zdjęcia, projekty).
• Zweryfikowanie kopii – spróbuj otworzyć kilka plików z backupu, sprawdź, czy dysk/zasób się poprawnie montuje.
• Plan na klucz odzyskiwania – miejsce, gdzie zapiszesz klucze/hasła tak, by były dostępne w razie awarii, ale nie dla przypadkowych osób.
• Nośnik ratunkowy – pendrive z instalatorem Windows / Linux, z którego możesz się uruchomić, jeśli coś pójdzie nie tak przy rozruchu.

Backup, który realnie ma sens

Backup „w teorii” to nie backup. Minimum, które warto zrobić:

• Skopiuj katalogi typu Dokumenty, Obrazy, Projekty, Desktop na zewnętrzny dysk lub do chmury.
• Wyeksportuj hasła/klucze z menedżera haseł (jeśli nie są i tak synchronizowane).
• Jeśli używasz klienta poczty typu Outlook/Thunderbird – upewnij się, że masz dostęp do kont mailowych z innego urządzenia lub zrób kopię profilu.

Następnie losowo otwórz kilka plików z kopii: dokument, zdjęcie, archiwum. Sprawdź, czy działają i czy ich nie brakuje. To proste, ale ratuje przed sytuacją: „miałem backup, ale okazało się, że był pusty”.

Klucze odzyskiwania: BitLocker i LUKS

Pełne szyfrowanie dysku jest tak bezlitosne, jak zaprojektowano. Jeśli zgubisz hasło i nie masz klucza odzyskiwania, nic nie „odblokuje” danych. Dlatego:

W praktyce sprowadza się to do kilku prostych, ale krytycznych kroków:

• Wygeneruj i zapisz klucz odzyskiwania natychmiast po włączeniu szyfrowania. Nie odkładaj tego „na potem”.
• Trzymaj go poza zaszyfrowaną maszyną – nie w tym samym laptopie, nie tylko w jednym pliku w chmurze.
• Przetestuj procedurę użycia na spokojnie: sprawdź, gdzie ten klucz jest i jak z niego skorzystasz, gdy system poprosi o jego podanie.

W BitLockerze system zwykle proponuje kilka opcji przechowywania klucza: konto Microsoft/Azure AD, plik, wydruk, domena. Kuszące jest kliknięcie „Zapisz w koncie Microsoft” i na tym zakończyć. Dobrze mieć to jako jedną kopię, ale nie jedyną – strata dostępu do konta (blokada, phishing, zapomniane hasło bez poprawnie skonfigurowanego odzyskiwania) oznacza kłopot. Bezpieczniejszy model to kombinacja: plik z kluczem na zaszyfrowanym pendrive + wydruk w zamkniętej szafce, a opcjonalnie dodatkowa kopia powiązana z kontem Microsoft.

Przy LUKS/dm-crypt kluczami w praktyce są: hasło do odblokowania woluminu oraz opcjonalne zaszyfrowane pliki kluczy (keyfile) trzymane na pendrive. Częsta pułapka: jedno supermocne hasło, którego nigdzie nie zapisano, „bo zapamiętam”. Po dwóch latach i jednej wymuszonej zmianie haseł w pracy wszystko się miesza. Bezpieczniejszy wariant to dwa sloty LUKS: jedno hasło, którego naprawdę używasz, oraz drugi slot z innym hasłem lub keyfile zapisanym w menedżerze haseł i wydrukowanym w kopercie. Jeśli kiedyś trzeba będzie zresetować główne hasło, masz z czego to zrobić.

Do przechowywania kluczy i haseł sensownie nadaje się menedżer haseł (lokalny lub chmurowy), ale nie opieraj na nim całej strategii. W sytuacji awaryjnej możesz nie mieć sieci, telefonu lub dostępu do 2FA. Klucz odzyskiwania w menedżerze + druga, „głupia” kopia na papierze lub offline (np. KeePass na osobnym pendrive) daje większy margines bezpieczeństwa niż same „inteligentne” rozwiązania.

Przed faktycznym zaszyfrowaniem dysku dobrym testem jest mała symulacja awarii: załóż, że laptop w ogóle nie startuje i leży przed tobą tylko fizycznie. Zastanów się, co robisz krok po kroku, żeby odzyskać dostęp do danych. Jeżeli w tej układance brakuje jakiegoś elementu – bootowalnego pendrive’a, klucza odzyskiwania, hasła do menedżera – to jeszcze nie jest moment na kliknięcie „Szyfruj”. Najczęstszy błąd przy pełnym szyfrowaniu to nie wybór algorytmu, tylko przekonanie, że „później się tym zajmę”, gdy jest już za późno na spokojne poprawki.

Test „na sucho” przed właściwym szyfrowaniem

Zanim zaszyfrujesz główny dysk systemowy, sensowne jest jedno małe ćwiczenie: przetestuj narzędzie szyfrujące na czymś, czego nie żal. Może to być:

• stary zewnętrzny dysk USB,
• drugi wewnętrzny dysk lub dodatkowa partycja,
• mały pendrive (tu odczujesz raczej limit pendrive’a niż algorytmu, ale interfejs i procedura będą takie same).

Prosty scenariusz testowy:

1. Utwórz na dodatkowym nośniku testową partycję lub zaszyfrowany wolumin.
2. Ustaw takie samo hasło / typ uwierzytelniania, jak planujesz dla dysku systemowego.
3. Skopiuj kilka większych folderów (zdjęcia, filmy, archiwa) i sprawdź:
   • czy transfer jest akceptowalny,
   • czy hasło/keyfile działa przewidywalnie,
   • jak wygląda montowanie/odmontowywanie w praktyce.

Ten etap często obnaża nie techniczne, ale organizacyjne problemy: za długie, niewygodne hasło, brak jasnego miejsca na przechowywanie klucza, czy mylenie się między kilkoma podobnymi frazami. Lepiej poprawić to na nośniku za kilkadziesiąt złotych niż na jedynym dysku z systemem.

4. Windows praktycznie: kiedy BitLocker, a kiedy VeraCrypt

BitLocker jako domyślny wybór na Windows 10/11

Na nowszych wersjach Windows (Pro, Enterprise, często też Education) BitLocker jest naturalnym pierwszym wyborem. Jest mocno zintegrowany z systemem, ma wsparcie dla TPM i nie wymaga dodatkowych sterowników. Dla większości użytkowników scenariusz „zrób i miej spokój” wygląda tak:

• włącz BitLocker na dysku systemowym (C:),
• jako tryb szyfrowania wybierz XTS-AES 128-bit (zwykle domyślne ustawienie),
• zaszyfruj tylko używaną przestrzeń dysku, jeśli to świeży lub mało „zaśmiecony” system.

Algorytm i długość klucza rzadko są tu wąskim gardłem – większe znaczenie ma to, czy CPU wspiera AES-NI. XTS-AES 128 na sprzęcie z AES-NI to racjonalny kompromis między bezpieczeństwem a wydajnością. Zmiana na 256 bitów nie podnosi realnie poziomu ochrony danych biurowych, a może nieco obciążyć starsze procesory.

Kiedy BitLocker nie jest idealny

Są sytuacje, w których „kliknij BitLocker i zapomnij” przestaje być optymalnym scenariuszem:

• Windows Home – tu dostępny bywa „Device Encryption” (szyfrowanie urządzenia) z automatycznym powiązaniem z kontem Microsoft. Dla części osób to zaleta, dla innych powód do szukania alternatywy, bo tracimy kontrolę nad miejscem przechowywania kluczy.
• Zaawansowane scenariusze dual-boot (Windows + kilka dystrybucji Linux na jednym dysku) – ingerencja w bootloader przez różne systemy może skomplikować start z BitLockerem.
• Konieczność pełnej przejrzystości kodu (środowiska o wysokich wymaganiach audytowych) – zamknięty kod BitLockera bywa wtedy argumentem przeciw.

W każdym z tych przypadków VeraCrypt jest naturalnym kandydatem do rozważenia, ale nie zawsze jako pełny zamiennik BitLockera na dysku systemowym. Czasem lepszym kompromisem jest: system na mniej problematycznym BitLockerze, a wrażliwe dane w kontenerach VeraCrypt.

VeraCrypt: kiedy ma sens na Windows

VeraCrypt jest kuszący, bo otwartoźródłowy i bardzo elastyczny. Pułapka polega na tym, że elastyczność łatwo zamienić w nadmierne komplikowanie się na własne życzenie. Kilka rozsądnych wzorców użycia:

• Zaszyfrowany kontener na dane – plik lub partycja z wrażliwymi dokumentami na tle mniej wrażliwego systemu. System może działać bez szyfrowania lub z BitLockerem, a poufne dane lądują w jednym, kontrolowanym miejscu.
• Zaszyfrowany dysk zewnętrzny – pendrive czy dysk, który przenosisz między różnymi komputerami (firma / dom / serwis). Tu VeraCrypt jest często wygodniejszy niż BitLocker To Go, szczególnie jeśli bywasz na Linuxie lub macOS.
• Pełne szyfrowanie systemu VeraCryptem – dopiero wtedy, gdy masz konkretne powody, aby unikać BitLockera (brak zaufania do TPM, specyficzne wymagania audytowe) i akceptujesz bardziej ręczne zarządzanie rozruchem.

Typowe ustawienia dla przeciętnego użytkownika: AES w trybie XTS (VeraCrypt tak go prezentuje), klucz 256-bit, bez łączenia wielu algorytmów naraz. Korzystanie z kaskad (AES-Twofish-Serpent itd.) wygląda „twardo” na papierze, ale w praktyce pogarsza wydajność i zwiększa złożoność, nie dając sensownej przewagi przy codziennych zagrożeniach.

Jak nie „uceglić” Windows przy włączaniu szyfrowania

Technicznie narzędzia są dojrzałe, najczęściej potykają się użytkownicy. Kilka prostych zasad minimalizuje ryzyko:

• Upewnij się, że system startuje poprawnie przed szyfrowaniem – jeśli już teraz zdarzają się błędy plików systemowych, BSOD-y czy problemy z dyskiem, szyfrowanie jedynie je uwidoczni.
• Odłącz zbędne dyski zewnętrzne na czas włączania BitLockera – zmniejsza to ryzyko pomyłki przy wyborze woluminu.
• Przeprowadź test rozruchu, jeśli narzędzie to proponuje – BitLocker potrafi sprawdzić, czy po zmianach w bootloaderze system wstanie i dopiero wtedy szyfrować całość.
• Nie kombinuj z partycjami w trakcie szyfrowania – zmianę rozmiaru, tworzenie i usuwanie partycji zaplanuj przed lub po, nigdy w połowie procesu.

5. Linux praktycznie: LUKS/dm-crypt bez nadmiernych komplikacji

Najprostszy wariant: pełne szyfrowanie z instalatora

Na współczesnych dystrybucjach (Ubuntu, Fedora, Debian, Manjaro i inne) najsensowniejszy sposób na pełne szyfrowanie dysku to wykorzystanie opcji w instalatorze typu „Szyfruj dysk” / „Use LVM with LUKS encryption”. Taki scenariusz daje kilka plusów:

• instalator sam poprawnie skonfiguruje grub i initramfs,
• dostajesz od razu sensowne domyślne parametry dm-crypt (AES-XTS, klucz 256 bit, kilka slotów LUKS),
• nie musisz ręcznie montować i edytować /etc/crypttab ani /etc/fstab.

Jeśli dopiero przechodzisz na Linuxa lub nie masz specjalnych wymagań, opcja „cały dysk zaszyfrowany przez instalator” to przepis na minimalną ilość niespodzianek przy kolejnych aktualizacjach jądra.

Szyfrowanie istniejącego systemu Linux

Szyfrowanie już zainstalowanego systemu jest możliwe, ale poziom ryzyka rośnie. Typowe podejścia:

• Migracja /home do LUKS – stwórz nową zaszyfrowaną partycję LUKS, przenieś tam dane użytkownika i podmontuj jako /home. System pozostaje nieszyfrowany, ale prywatne dane są chronione.
• Nowa instalacja z pełnym szyfrowaniem na osobnej partycji/dysku, a dane z dotychczasowego systemu skopiowane z backupu.
• Ręczne zaszyfrowanie „w locie” całego systemu – możliwe przy użyciu narzędzi typu cryptsetup-reencrypt, ale łatwo tu o błąd i dłuższe przestoje, więc nie jest to wariant dla niecierpliwych.

Najbezpieczniejszą drogą jest często: pełny backup, nowa instalacja z LUKS z poziomu instalatora, przywrócenie danych. Kusi, by „jakimś skryptem” przekonwertować istniejący system, ale przy dyskach z błędami, nietypowych partycjach i ręcznie modyfikowanym bootloaderze to proszenie się o problemy.

Jakie ustawienia LUKS mają realny wpływ na wydajność

Domyślne parametry w popularnych dystrybucjach są zwykle sensowne, ale kilka opcji warto świadomie przemyśleć:

• Algorytm i długość klucza – AES-XTS 256-bit to obecny standard. Zmniejszenie do 128 bitów obniży nieco bezpieczeństwo „na papierze”, ale na maszynach bez AES-NI może przynieść zauważalną różnicę. Na nowym sprzęcie zostawienie AES-XTS 256 jest rozsądne.
• PBKDF (argon2 / PBKDF2) – sposób przetwarzania hasła. Im „cięższy”, tym trudniejszy brute force, ale tym dłuższy czas odblokowania przy starcie. Instalatory często dobierają rozsądne wartości, więc dopiero przy bardzo słabym CPU warto obniżyć parametry, jeśli rozruch trwa podejrzanie długo.
• TRIM na SSD – aby nie cierpiała wydajność i żywotność SSD, włącz okresowe fstrim lub montowanie z opcją discard. Wiele dystrybucji ma to już skonfigurowane jednotimerem systemd.

Wbrew częstym radom nie ma potrzeby przechodzenia na egzotyczne algorytmy tylko dlatego, że „mniej popularne = bezpieczniejsze”. W typowych zagrożeniach (kradzież laptopa, utrata dysku) ważniejsze jest mocne hasło i poprawnie skonfigurowany bootloader niż wybór ultra-niszowego szyfru.

Dual-boot Linux + Windows bez konfliktów

Konfiguracje z kilkoma systemami na jednym dysku są klasycznym miejscem, gdzie szyfrowanie może zaboleć. Praktyczny zestaw zasad:

• Każdy system szyfruje własną partycję – Windows używa BitLockera na swojej, Linux LUKS na swojej. Unikaj kombinacji typu: „jedna partycja z danymi współdzielona i szyfrowana raz tak, raz inaczej”.
• Bootloader – zwykle wygodniej, gdy to Linuxowy grub zarządza startem, a Windows jest dodany jako jedna z pozycji. Szyfrowanie partycji EFI / /boot wymaga wtedy dodatkowej ostrożności lub pozostawienia małego niezaszyfrowanego /boot.
• Partycja z danymi wspólnymi – jeśli naprawdę potrzebujesz współdzielonego zaszyfrowanego obszaru między systemami, rozważ osobny dysk/partycję z VeraCryptem. Próby montowania natywnie zaszyfrowanego woluminu jednego systemu w drugim często kończą się frustracją.

Gdzie LUKS nie jest optymalny

Hasło „szyfruj LUKS-em wszystko” również ma swoje ograniczenia.

• Serwery z pełnym szyfrowaniem i wymaganiem automatycznego startu – jeśli serwer ma wstawać sam po restarcie bez interakcji, pełne szyfrowanie systemu bez dodatkowych mechanizmów (remote key, TPM, podpinanie keyfile z innego systemu) traci sens, bo klucz musi być trzymany lokalnie. Lepiej czasem zaszyfrować tylko wolumeny z danymi.
• Środowiska z wieloma kontenerami/chmurą – jeśli aplikacje składają się z dziesiątek kontenerów, a dane i tak lądują w zewnętrznych usługach (S3, bazy PaaS, szyfrowane wolumeny w chmurze), szyfrowanie całego dysku LUKS-em bywa tylko „drugą warstwą lakieru”. Dużo większy sens ma wtedy uporządkowanie szyfrowania po stronie samych usług (KMS, per‑bucket/per‑volume encryption) i kluczy.
• BIOS-owe „szyfrowanie” dysku – niektóre laptopy kuszą prostą opcją hasła na dysk w firmware. W części modeli oznacza to faktyczne wykorzystanie SED (self-encrypting drive), w innych tylko blokadę startu. Jeżeli nie masz jasnej dokumentacji i możliwości audytu, lepiej postawić na jawnie skonfigurowany LUKS niż liczyć na „magiczne” szyfrowanie sprzętowe.

Na stacjach roboczych i laptopach LUKS sprawdza się najlepiej tam, gdzie użytkownik faktycznie wpisuje hasło przy starcie i ma świadomość, że bez niego system nie ruszy. Natomiast w scenariuszach, w których maszyny mają po prostu „same wstać” po zaniku zasilania, sensowniejsze bywa podejście mieszane: system bez szyfrowania, za to konkretne wolumeny z danymi zabezpieczone LUKS-em i dodatkowymi mechanizmami kontroli dostępu.

Dobrym filtrem jest pytanie: czy ktoś realnie będzie obecny przy maszynie, gdy trzeba odblokować dysk? Jeśli odpowiedź brzmi „raczej nie”, to zamiast na siłę szyfrować wszystko, lepiej dobrać model, w którym klucze do naprawdę wrażliwych danych są trzymane osobno (HSM, KMS, oddzielny serwer z kluczami) i nie pojawiają się w postaci odszyfrowanej bez wyraźnego powodu.

Są też przypadki, gdzie szyfrowanie całego dysku nie rozwiązuje rzeczywistego problemu. Pracownik kopiuje pliki na nieszyfrowane pendrive’y, wysyła raporty z domu przez prywatnego maila, robi zrzuty ekranu do komunikatora – w takim otoczeniu nawet perfekcyjnie skonfigurowany LUKS będzie jedynie ładną dekoracją. Najpierw trzeba ujarzmić przepływ danych, dopiero potem uszczelniać dysk systemowy.