详解centos7基于luks对磁盘进行加密

发布日期： 2020-11-26 阅读量： 作者： 网络

下面由centos基础教程栏目给大家介绍centos7基于luks对磁盘进行加密的方法，希望对需要的朋友有所帮助！

centos7基于luks对磁盘进行加密

LUKS(Linux Unified Key Setup)为Linux硬盘加密提供了一种标准，它不仅能通用于不同的Linux发行版本，还支持多用户/口令。因为它的加密密钥独立于口令，所以如果口令失密，我们可以迅速改变口令而无需重新加密真个硬盘。通过提供一个标准的磁盘上的格式，它不仅方便之间分布的兼容性，而且还提供了多个用户密码的安全管理。必须首先对加密的卷进行解密,才能挂载其中的文件系统。

工具：cryptsetup（默认已经安装）

[root@node1 ~]# cryptsetup --help
cryptsetup 1.7.4
用法: cryptsetup [选项…]  
 --version 打印软件包版本
 -v, --verbose 显示更详细的错误信息
 --debug 显示调试信息
 -c, --cipher=STRING 用于加密磁盘的密文（参见 /proc/crypto）
 -h, --hash=STRING 用于从密码创建加密密钥的哈希值
 -y, --verify-passphrase 两次询问密码以进行验证
 -d, --key-file=STRING 从文件读取密钥。
 --master-key-file=STRING 从文件读取卷（主）密钥。
 --dump-master-key 转储卷（主）密钥而不是键槽信息。
 -s, --key-size=位 加密密钥大小
 -l, --keyfile-size=字节 限制从密钥文件读取
 --keyfile-offset=字节 要从密钥文件跳过的字节数
 --new-keyfile-size=字节 限制从新增密钥文件的读取
 --new-keyfile-offset=字节 要从新增密钥文件跳过的字节数
 -S, --key-slot=INT 新密钥的槽号（默认为第一个可用的）
 -b, --size=扇区 设备大小
 -o, --offset=扇区 后端设备的起始偏移量
 -p, --skip=扇区 从开头要跳过的加密数据扇区数量
 -r, --readonly 创建只读映射
 -i, --iter-time=毫秒 LUKS 默认 PBKDF2 迭代时间（毫秒）
 -q, --batch-mode 不要请求确认
 -t, --timeout=秒 交互式密码提示符超时长度（秒）
 -T, --tries=INT 输入密码的最大重试频率
 --align-payload=扇区 于 <n> 个扇区边界处对其载荷数据 - 供 luks 格式用
 --header-backup-file=STRING 带有 LUKS 数据头和密钥槽备份的文件。
 --use-random 使用 /dev/random 生成卷密钥。
 --use-urandom 使用 /dev/urandom 生成卷密钥。
 --shared 与另一个不重合的加密段共享设备。
 --uuid=STRING 设备使用的 UUID 已占用。
 --allow-discards 允许设备的 discard（或称 TRIM）请求。
 --header=STRING 带有分离 LUKS 数据头的设备或文件。
 --test-passphrase 不要激活设备，仅检查密码。
 --tcrypt-hidden 使用隐藏数据头（隐藏 TCRYPT 设备）
 --tcrypt-system 设备为系统 TCRYPT 驱动器（带有引导器）。
 --tcrypt-backup 使用备份（次级）TCRYPT 标头。
 --veracrypt 同时扫描 VeraCrypt 兼容的设备。
 -M, --type=STRING 设备元数据类型：luks, 纯粹 (plain), loopaes, tcrypt.
 --force-password 禁用密码质量检查 (如果已启用)。
 --perf-same_cpu_crypt 使用 dm-crypt same_cpu_crypt 性能兼容性选项。
 --perf-submit_from_crypt_cpus 使用 dm-crypt submit_from_crypt_cpus 性能兼容性选项。

帮助选项：
 -?, --help 显示此帮助
 --usage 显示简短用法

 为其中之一：
 open  [--type ] [] - 以映射  打开设备
 close  - 关闭设备（移除映射）
 resize  - 改变活动设备大小。
 status  - 显示设备状态
 benchmark [--cipher <cipher>] - 测试密文
 repair  - 尝试修复磁盘上的元数据
 erase  - 清空所有密钥槽（移除加密密钥）
 luksFormat  [] - 格式化一个 LUKS 设备
 luksAddKey  [] - 向 LUKS 设备添加密钥
 luksRemoveKey  [] - 移除 LUKS 设备中指定的密钥或密钥文件
 luksChangeKey  [] - 更改 LUKS 设备中指定的密钥或密钥文件
 luksKillSlot   - 从 LUKS 设备清理标号为 <key> 的密钥
 luksUUID  - 输出 LUKS 设备的 UUID（唯一标识符）
 isLuks  - 从 <device> 探测 LUKS 分区标头
 luksDump  - 调出 LUKS 分区信息
 tcryptDump  - 调出 TCRYPT 设备信息
 luksSuspend  - 挂起 LUKS 设备并清除密钥（冻结所有 IO 操作）。
 luksResume  - 恢复已暂停的 LUKS 设备。
 luksHeaderBackup  - 备份 LUKS 设备标头和密钥槽
 luksHeaderRestore  - 恢复 LUKS 设备标头和密钥槽

你亦可使用老的  语法别名：
 open: create (plainOpen), luksOpen, loopaesOpen, tcryptOpen
 close: remove (plainClose), luksClose, loopaesClose, tcryptClose

<name> 为要在 /dev/mapper 创建的设备
<device> 为加密设备
<key> 为需要更改的 LUKS 密钥槽
<key> 提供给 luksAddKey 动作的密钥文件

默认集成的密钥和密码参数：
 密钥文件的最大大小：8192kB, 交互式密码的最大长度：512 (字符)
LUKS 的默认 PBKDF2 迭代时间：2000 (毫秒)

默认集成的设备密文参数：
 loop-AES：aes, 256 位密钥
 plain：aes-cbc-essiv:sha256, 密钥：256 位, 密码哈希：ripemd160
 LUKS1：aes-xts-plain64, 密钥：256 bits, LUKS 数据头哈希：sha256, RNG：/dev/urandom</key></key></device></name></device></key></cipher></n>

上一篇: PHP函数如何接收回调参数？

下一篇: C++ 函数的黑暗面：避免常见陷阱

详解centos7基于luks对磁盘进行加密

随便看看