Ubuntu上 LUKS的使用以及开启自动加密

约定不等于承诺〃 2024-04-18 09:30 1阅读 0赞

LUKS(Linux Unified Key Setup)为Linux硬盘分区加密提供了一种标准，它不仅能通用于不同的Linux发行版本，还支持多用户/口令。

Crypsetup工具加密的特点：

*  加密后不能直接挂载
 *  加密后硬盘丢失也不用担心数据被盗
 *  加密后必须做映射才能挂载

本教程简单介绍，如何在ubuntu 虚拟机使用这玩意。  
首先，LUKS的加密是基于分区的。 其次，首次建立加密分区的时候LUKS会对分区进行格式化，里面的数据会没得。  
建立好加密分区后首先要启动 这个加密分区，启动的过程需要输入密钥解密。解密完成后，再使用mount命令将分区挂载到某个目录下。

# 为虚拟机添加新的分区 #

个人的机子上没有空闲的分区，于是就通过虚拟机设置往虚拟机加了一块硬盘，这块5GB的硬盘就是新加的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70]  
然后重启设备。  
使用fdisk查看 是否添加硬盘成功。

sudo fdisk -l

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 1]  
从上面可以看到这个新加的硬盘没有分区表，而且设备名是/dev/sdb，接下里，往/dev/sdb添加新的分区。建立主分区，只建立一个分区。

fdisk /dev/sdb

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 2]  
查看分区建立是否成功。

fdisk -l

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 3]

# 建立加密分区 #

使用cryptsetup命令格式化这个新的分区，同时设置好访问密钥，例如 123456.

cryptsetup  luksFormat /dev/sdb1

需要输入一个大写的 **YES**，因为这个操作会把该分区原来的数据删除掉。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 4]

# 使用加密分区 #

加密分区需要先解密，然后再挂载。  
使用`cryptsetup luksOpen /dev/sdb1 luks_test` ,最后一个参数指明把这个分区映射到那个名字上。  
![在这里插入图片描述][20190904174612437.png]  
映射成功的话，会在/dev/mapper/文件夹看到相应的东西。  
![在这里插入图片描述][20190904191441337.png]  
如果是第一次使用这个分区，需要给这个分区指定文件系统，例如ext4  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 5]  
再把这个设备挂载在想要的目录上。  
![在这里插入图片描述][20190904191911850.png]

# 自动解密和挂载 #

有的时候，LUKS需要频繁的输入密码，这是很让人心烦的。此时可以使用LUKS的自动解密功能。这其实就是使用LUSK的多解密方式来做的：同一个分区可以使用多个密钥来解密。 当然，猜测它里面的实现方法肯定是有一个master-key ,其它密钥最后转换为统一的master-key来解密的。

首先，需要生成一个密钥文件，密钥的内容、长度随机任意。例如：在根目录下生成一个随机数文件，然后把这个文件内容当做密钥。  
![在这里插入图片描述][20190904192440634.png]  
可以修改它的权限，使得只有root可以读取它。  
![在这里插入图片描述][20190904192631810.png]  
接下来，为/dev/sdb1这个加密分区添加新的密钥：  
最后两个参数 `/dev/sdb1 /keyfile` 根据实际情况变化。  
![在这里插入图片描述][20190904193355332.png]  
然后，编辑`/etc/crypttab`文件：  
首先查看这个我们的加密分区/dev/sdb1的UUID号`52bf64de-8113-40a2-bb62-0d729476be46`，这个号后面有用到。  
![在这里插入图片描述][20190904174437340.png]  
编辑`/etc/crypttab` 文件：  
添加这么一行：

sdb1_crypt UUID=52bf64de-8113-40a2-bb62-0d729476be46 /keyfile luks,keyscript=/lib/cryptsetup/scripts/passdev

其中sdb1\_crypt 是想要把这个加密分区映射到/dev/mapper/下的文件夹 名称、UUID是上步得到的一串数字、/keyfile是刚刚生成的密钥文件、`luks,uks,keyscript=/lib/cryptsetup/scripts/passdev` 固定 表示用passdev那个程序来自动输入密码。

最后，编辑`/etc/fstab`文件，添加一行：`/dev/mapper/sdb1_crypt /data_crypt ext4 defaults 0 0`,这一行的意思是告诉OS在加载文件系统的时候，完成从设备/dev/mapper/sdb1\_crypt 到目录/data\_crypt 的映射，映射的文件系统是ext4.  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 6]

此时，大功告成了！  
只差最后一步，更新系统的引导ram镜像，使用update-initramfs -u 即可。  
![在这里插入图片描述][20190904193847895.png]  
最后，重启系统。

# 最后 #

值得一提的是，这个LUKS的自动解密的功能需要把密钥文件保存在非加密文件分区，这是不安全的。  
如果是远程使用这个LUKS，还是建议不要自动解密和自动挂载。设置自动解密，密钥文件会有泄露的风险，设置自动挂载而不设置自动解密则需要开启之初，到达登录界面之前手输密码，在到达登录界面前 远程无法访问到系统。  
因此，远程访问时，就啥时候使用加密分区就啥时候挂载。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/8eb92a631e90454789f9dddc67a49f15.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/ce533ba4d8b84c0cafdb2d25522eebef.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/8292c1f11ec14d6fa2b5e80be53318db.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/e98d84bbf7ee44f68c2b96d32b4ace49.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/568e5f147853483997c027b45f880d12.png
[20190904174612437.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/8d023aeac7a44608ae4b134ff11ba712.png
[20190904191441337.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/95a3c94e973d42e7b5ab9d197102b922.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/f39c3b067f3044a4ab589eb3f661689a.png
[20190904191911850.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/b957bb89d4f7464087cc15b422ad0889.png
[20190904192440634.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/10a66798ab704f289203dad6ecfd8a8c.png
[20190904192631810.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/3108ba2484094ef0b237c3854cddfff9.png
[20190904193355332.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/3f68f410eb4e4bedbab286f7bcb27c75.png
[20190904174437340.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/559d72b8ab56465aace65ab66dd24157.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ptaDE5OTY_size_16_color_FFFFFF_t_70 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/ef531b9aca914e4ca78d30a93f718918.png
[20190904193847895.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/17/a95807f97a8f4c4f861c11a54a25a05d.png