Ubuntu文件系统如何实现数据加密

首页

网络安全

Ubuntu文件系统如何实现数据加密

热心网友

转载

2026-04-25

Ubuntu文件系统如何实现数据加密

在数据安全日益重要的今天，为Ubuntu文件系统加上一道“锁”是很多用户的刚需。实现数据加密其实并不复杂，关键在于选择合适的方法并正确配置。下面这张图直观地展示了两种主流加密路径的核心区别，我们可以先有个整体印象：

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

Ubuntu文件系统如何实现数据加密

简单来说，你可以选择“全盘加密”一劳永逸，也可以选择“目录加密”灵活应对。接下来，我们就深入看看这两种方法的具体操作步骤。

方法一：使用LUKS（Linux Unified Key Setup）加密整个磁盘

LUKS是Linux下全盘加密的行业标准，它直接在磁盘分区层面工作，安全性高，适合保护整块硬盘的数据。操作流程可以概括为七个步骤，但第一步永远是重中之重。

备份数据
在进行任何磁盘加密操作之前，请务必备份所有重要数据。这一步绝不能跳过，因为加密过程一旦开始就无法逆转，任何误操作都可能导致数据丢失。
安装必要的工具
工欲善其事，必先利其器。首先打开终端，运行以下命令来安装核心的cryptsetup工具：
```
sudo apt update
sudo apt install cryptsetup
```
加密磁盘分区
接下来，使用cryptsetup对你的目标分区进行加密。举个例子，如果你想加密/dev/sda1这个分区，命令是这样的：
```
sudo cryptsetup luksFormat /dev/sda1
```
执行后，系统会要求你确认这个危险操作，并设置一个强加密密码。这个密码就是你未来访问数据的唯一钥匙，务必牢记。
打开加密卷
加密完成后，分区还不能直接使用，需要先“解锁”它。使用以下命令打开加密卷：
```
sudo cryptsetup luksOpen /dev/sda1 my_encrypted_volume
```
这里的my_encrypted_volume是你为这个加密卷起的名字，可以自定义，方便后续识别。
格式化并挂载加密卷
解锁之后，这个加密卷在系统里就像一个全新的虚拟磁盘。你需要先为其创建文件系统（比如ext4），然后挂载到某个目录下才能使用：
```
sudo mkfs.ext4 /dev/mapper/my_encrypted_volume
sudo mount /dev/mapper/my_encrypted_volume /mnt/encrypted
```
自动挂载
每次开机都手动输入密码打开加密卷太麻烦，我们可以配置系统在启动时自动完成这个步骤。这需要编辑两个配置文件。

首先，在/etc/crypttab文件中添加一行，告诉系统哪个分区需要解密：
```
my_encrypted_volume /dev/sda1 none luks
```
然后，在/etc/fstab文件中添加一行，告诉系统解密后的卷应该挂载到哪里：
```
/dev/mapper/my_encrypted_volume /mnt/encrypted ext4 defaults 0 2
```
重启系统
最后一步，重启你的电脑，验证一下配置是否生效。系统启动过程中应该会提示你输入之前设置的LUKS密码，输入正确后，加密卷就能自动挂载并使用了。
```
sudo reboot
```

方法二：使用eCryptfs加密特定目录

如果你觉得全盘加密有点“杀鸡用牛刀”，或者只想保护某些敏感文件夹，那么eCryptfs会是更轻量、灵活的选择。它是一种堆叠式加密文件系统，可以在现有的文件系统（如ext4）之上，对单个目录进行透明加密。

安装eCryptfs工具
同样，先从安装工具开始。在终端中运行：
```
sudo apt update
sudo apt install ecryptfs-utils
```
创建加密目录
创建一个你打算用来存放加密文件的目录：
```
mkdir ~/encrypted_folder
```
挂载加密目录
这是核心步骤。使用eCryptfs的专用命令来初始化并挂载这个目录：
```
ecryptfs-setup-private ~/encrypted_folder
```
运行后，系统会引导你设置加密密码、选择加密算法和密钥长度等选项。按照提示操作即可。
使用加密目录
配置完成后，你就可以像使用普通目录一样，向~/encrypted_folder里存入或读取文件了。所有操作都在后台自动完成加密和解密，对你来说是透明的，体验非常流畅。
卸载加密目录
当你暂时不需要访问加密数据时，可以手动卸载这个目录，相当于给它“上锁”：
```
umount ~/encrypted_folder
```
之后，这个目录里的内容就无法直接读取了，需要再次执行挂载命令并输入密码才能访问。