linux luks自動(dòng)加密和掛載磁盤(pán)詳解
1、描述
cryptsetup是linux下的一個(gè)分區(qū)加密工具，它通過(guò)調(diào)用內(nèi)核中的"dm-crypt"來(lái)實(shí)現(xiàn)磁盤(pán)加密的功能。
從安全的角度來(lái)看，對(duì)敏感數(shù)據(jù)進(jìn)行加密以保護(hù)其免受窺探和黑客的攻擊是很重要的。 Linux 統(tǒng)一密鑰設(shè)置(Linux Unified Key Setup)（LUKS）是一個(gè)很好的工具，也是 Linux 磁盤(pán)加密的通用標(biāo)準(zhǔn)。因?yàn)樗鼘⑺邢嚓P(guān)的設(shè)置信息存儲(chǔ)在分區(qū)頭部中，所以它使數(shù)據(jù)遷移變得簡(jiǎn)單。
要使用 LUKS 配置加密磁盤(pán)或分區(qū)，我們需要使用 cryptsetup 工具。
使用cryptsetup對(duì)分區(qū)進(jìn)行了加密后，這個(gè)分區(qū)就不再允許直接掛載。LUKS也是一種基于device mapper 機(jī)制的加密方案。如果要使用這個(gè)分區(qū)，必須對(duì)這個(gè)分區(qū)做一個(gè)映射，映射到/dev/mapper這個(gè)目錄里去，我們只能掛載這個(gè)映射才能使用。然而做映射的時(shí)候是需要輸入解密密碼的。
2、創(chuàng)建加密磁盤(pán)分區(qū)
例如：我們現(xiàn)在對(duì)現(xiàn)有的 /home目錄進(jìn)行加密
執(zhí)行l(wèi)sblk ,我們可以看到home目錄對(duì)應(yīng)的磁盤(pán)是sda3，全路徑即是：/dev/sda3
$ lsblk NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT sda 8:0 0 477G 0 disk ├─sda1 8:1 0 600M 0 part /boot/efi ├─sda2 8:2 0 1G 0 part /boot ├─sda3 8:3 0 397.7G 0 part /home ├─sda4 8:4 0 70G 0 part / └─sda5 8:5 0 7.7G 0 part [SWAP] sdb 8:16 1 7.5G 0 disk └─sdb1 8:17 1 7.5G 0 part
我們需要去umount home目錄
umount 可能報(bào)錯(cuò)：目錄繁忙。
解決方案：關(guān)閉正在執(zhí)行的任務(wù)，任何執(zhí)行目錄、存儲(chǔ)目錄涉及到home的任務(wù)。
$ umount /home
再次執(zhí)行l(wèi)sblk ,我們可以看到磁盤(pán)sda3的掛載home沒(méi)有了
$ lsblk NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT sda 8:0 0 477G 0 disk ├─sda1 8:1 0 600M 0 part /boot/efi ├─sda2 8:2 0 1G 0 part /boot ├─sda3 8:3 0 397.7G 0 part ├─sda4 8:4 0 70G 0 part / └─sda5 8:5 0 7.7G 0 part [SWAP] sdb 8:16 1 7.5G 0 disk └─sdb1 8:17 1 7.5G 0 part
3、luks加密
安裝加密軟件，一般服務(wù)器自帶
$ yum install cryptsetup -y
cryptsetup [其他參數(shù)] luksFormat 需要加密的磁盤(pán)
常用參數(shù)：
| 參數(shù)名稱 | 描述 |
|---|---|
| –cipher | 加密方式 |
| –key-size | 密鑰長(zhǎng)度 |
| –hash | 散列算法 |
| –iter-time | 迭代時(shí)間，單位為毫秒。值越大，暴力 破解越難，打開(kāi)加密盤(pán)的時(shí)間也越久 |
我們這里使用默認(rèn)值，執(zhí)行的過(guò)程中，命令會(huì)警告你將會(huì)清除磁盤(pán)上的所有數(shù)據(jù)，并要求你輸入兩次密碼
注意：下面的YES必須輸入大寫(xiě)的
$ cryptsetup luksFormat /dev/sda3 WARNING! ======== 這將覆蓋 /dev/sda3 上的數(shù)據(jù)，該動(dòng)作不可取消。 Are you sure? (Type 'yes' in capital letters): YES 輸入 /dev/sda3 的口令： 確認(rèn)密碼：
4、打開(kāi)luks加密盤(pán)
命令如下：
cryptsetup 加密類型Open 加密磁盤(pán) 映射名稱
執(zhí)行該命令后就會(huì)將 /dev/sda3 解密，并映射成 /dev/mapper/home
$ cryptsetup luksOpen /dev/sda3 home 輸入 /dev/sda3 的口令：
5、操作和配置luks加密盤(pán)
## 在加密的分區(qū)上創(chuàng)建一個(gè) XFS 文件系統(tǒng) $ mkfs.xfs /dev/mapper/home $ mount /dev/mapper/home /home $ touch /mnt/secret
6、開(kāi)機(jī)自動(dòng)解密和掛載加密盤(pán)
生成隨機(jī)字符串，熵越大越好
$ dd if=/dev/urandom bs=1 count=1024 2>/dev/null | base64 -w 0 | rev | cut -b 2- | rev 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
將隨機(jī)內(nèi)容寫(xiě)入到一個(gè)文件，并設(shè)置文件權(quán)限，只允許 root 讀寫(xiě)
$ vim /root/luks_pass $ chmod 600 /root/luks_pass
設(shè)置開(kāi)機(jī)自動(dòng)解密 luks 分區(qū)：
$ vim /etc/crypttab # <name> <device> <password> <options> home /dev/sda3 /root/luks_pass
把密碼添加到luks加密中，這一步必須執(zhí)行才能使密碼生效：
$ cryptsetup luksAddKey /dev/sda3 /root/luks_pass 輸入任意已存在的口令:
注釋老的home自動(dòng)掛載，設(shè)置新的 home 自動(dòng)掛載點(diǎn)：
$ vim /etc/fstab # # /etc/fstab # Created by anaconda on Tue Jun 20 10:39:43 2023 # # Accessible filesystems, by reference, are maintained under '/dev/disk/'. # See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info. # # After editing this file, run 'systemctl daemon-reload' to update systemd # units generated from this file. # UUID=715d159b-2612-439d-8da9-4f003aebe3be / xfs defaults 0 0 UUID=fbbb9210-1b17-485b-b95d-5e550e3b7be8 /boot xfs defaults 0 0 UUID=D918-3920 /boot/efi vfat umask=0077,shortname=winnt 0 2 # 注釋掉老的home掛載信息 # UUID=7ee7cabf-8627-46b0-b40c-2c329926e775 /home xfs defaults 0 0 UUID=de06acc9-4238-4de4-bc67-b754c2c0e993 none swap defaults 0 0 #配置新的home掛載信息 /dev/mapper/home /home xfs defaults 0 0 ~
7、查看加密盤(pán)
$ cryptsetup status home /dev/mapper/home is active. type: LUKS2 cipher: aes-xts-plain64 keysize: 512 bits key location: keyring device: /dev/sda3 sector size: 512 offset: 32768 sectors size: 833939456 sectors mode: read/write
8、關(guān)閉加密盤(pán)
$ umount /mnt $ cryptsetup close home
總結(jié)
以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。
相關(guān)文章
centos7.6批量增加修改刪除虛擬網(wǎng)卡操作介紹
大家好，本篇文章主要講的是centos7.6批量增加修改刪除虛擬網(wǎng)卡操作介紹，感興趣的同學(xué)趕快來(lái)看一看吧，對(duì)你有幫助的話記得收藏一下2021-12-12
ubuntu下使用sublime text時(shí)如何完美輸入中文
網(wǎng)上的很多方法都不能讓ubuntu下的sublime輸入中文，使用Input Helper也很是別扭，這個(gè)方法是某大神通過(guò)啟動(dòng)sublime程序前運(yùn)行腳本修改sublime來(lái)實(shí)現(xiàn)中文輸入。2015-12-12
在Linux服務(wù)器運(yùn)維過(guò)程中,根分區(qū)爆滿是非常常見(jiàn)的緊急故障,若不及時(shí)處理,會(huì)導(dǎo)致服務(wù)器無(wú)法正常運(yùn)行、服務(wù)卡頓甚至崩潰,因此本文記錄了一次CentOS服務(wù)器根分區(qū)占用81%的排查與解決過(guò)程,需要的朋友可以參考下2026-04-04
詳解如何在 CentOS 7 中安裝或升級(jí)最新的內(nèi)核
這篇文章主要介紹了詳解如何在 CentOS 7 中安裝或升級(jí)最新的內(nèi)核，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下。2017-03-03
Linux如何快速檢查服務(wù)器的硬件配置和性能指標(biāo)
在運(yùn)維和開(kāi)發(fā)工作中,我們經(jīng)常需要快速檢查L(zhǎng)inux服務(wù)器的硬件配置和性能指標(biāo),本文將以?CentOS?為例,介紹如何通過(guò)命令行快速獲取這些關(guān)鍵信息,并提供詳細(xì)的代碼示例和解析,需要的可以了解下2025-06-06
linux 分區(qū)，格式化，掛載的命令詳細(xì)介紹
這篇文章主要介紹了linux 分區(qū)，格式化，掛載的命令詳細(xì)介紹的相關(guān)資料,這里對(duì)命令進(jìn)行了詳解并附簡(jiǎn)單實(shí)例說(shuō)明該如何實(shí)現(xiàn)，需要的朋友可以參考下2016-11-11
linux下查看內(nèi)存條數(shù)及每根內(nèi)存大小的實(shí)現(xiàn)方法(推薦)
下面小編就為大家?guī)?lái)一篇linux下查看內(nèi)存條數(shù)及每根內(nèi)存大小的實(shí)現(xiàn)方法(推薦)。小編覺(jué)得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過(guò)來(lái)看看吧2016-11-11
本文介紹了如何在Linux系統(tǒng)中使用chronyd服務(wù)配置時(shí)間服務(wù)器,包括時(shí)間同步和狀態(tài)檢查,首先配置一臺(tái)虛擬機(jī)作為時(shí)間服務(wù)器,不從網(wǎng)絡(luò)同步時(shí)間而使用本地時(shí)間,另一臺(tái)虛擬機(jī)作為客戶端,從時(shí)間服務(wù)器同步時(shí)間,詳細(xì)步驟包括編輯chrony.conf文件2024-09-09
NFS是一種基于TCP/IP傳輸?shù)木W(wǎng)絡(luò)文件系統(tǒng)協(xié)議,通過(guò)使用NFS協(xié)議,客戶機(jī)可以像訪問(wèn)本地目錄一樣訪問(wèn)遠(yuǎn)程服務(wù)器中的共享資源,本文給大家介紹Linux中使用nfs共享存儲(chǔ)的相關(guān)知識(shí),感興趣的朋友跟隨小編一起看看吧2023-10-10
CentOS6.5 升級(jí) Python 2.7 版本詳細(xì)介紹
這篇文章主要介紹了 CentOS6.5 升級(jí) Python 2.7 版本詳細(xì)介紹的相關(guān)資料,需要的朋友可以參考下2017-01-01