安卓全盘加密 (Full-Disk Encryption, FDE) 概述

---

标签： Full-Disk Encryption； FDE；

---

安卓全盘加密 (Full-Disk Encryption, FDE) 概述

1. 什么是全盘加密（FDE）？

全盘加密（Full-Disk Encryption, FDE）是在Android操作系统中用于保护用户数据的一种安全机制。FDE加密了设备的整个数据分区，这意味着一旦设备被加密，存储在设备上的所有用户数据（包括应用数据、文件、媒体内容等）都会以加密形式存储。

FDE的主要特点是，在设备启动时，必须输入解锁凭证（如PIN码、密码等）才能解密数据分区并访问设备上的内容。在设备启动之前，数据以加密形式存储，无法被访问或读取。

2. FDE的主要作用和优点

• 全面数据保护：FDE确保设备上的所有用户数据在设备未解锁时都处于加密状态，这使得即使设备落入他人之手，也无法读取其中的数据。

• 简单统一的加密机制：FDE加密整个数据分区，这意味着用户无需为每个文件或目录单独配置加密，整个分区都受到统一的保护。

• 自动加密：一旦启用了FDE，所有数据都会自动加密和解密，用户不需要手动干预或管理。

3. 以前如何验证FDE功能是否开启？

要验证设备是否启用了全盘加密，可以通过以下几种方法进行检查：

1. 通过设置界面检查：

   • 在较旧的Android版本中（如Android 6.0 Marshmallow之前），你可以通过进入设置 > 安全查看设备加密状态。如果设备启用了加密，通常会显示“已加密”或类似的状态信息。

2. 通过ADB命令行检查：

   • 使用Android Debug Bridge（ADB），可以通过以下命令来验证设备是否启用了全盘加密：

     adb shell getprop ro.crypto.state
     

     • 如果返回值为encrypted，表示设备已启用全盘加密。
     • 如果返回值为unencrypted，表示设备没有启用全盘加密。

   • 你还可以检查加密类型是否为全盘加密（FDE）：

     adb shell getprop ro.crypto.type
     

     • 如果返回值为block，表示使用的是全盘加密（FDE）。
     • 如果返回值为file，表示使用的是文件加密（FBE）。

3. 检查解锁行为：

   • 如果设备在启动时要求输入PIN、密码或图案解锁，并且在设备启动完成之前无法访问数据（如来电或消息通知无法显示具体内容），这通常是设备启用了全盘加密的一个标志。

4. 通过系统日志或dmesg检查：

   • 通过adb shell dmesg或查看系统日志（logcat），你可以搜索与crypto或dm-crypt相关的日志条目，这些日志通常包含设备加密状态的详细信息。

5. 通过挂载点检查：

   • 可以通过以下命令检查设备的数据分区是否经过加密：

     adb shell mount | grep /data
     

     • 如果输出中包含/dev/block/dm-0或类似的虚拟设备节点，表示设备的数据分区已加密。

4. 总结

全盘加密（FDE）是Android设备上一种关键的安全机制，它为用户提供了全面的存储加密保护，确保数据在设备未解锁时无法访问。通过设置界面、ADB命令行、系统日志等多种方法，用户和开发者可以验证设备是否启用了FDE，以确保数据安全性符合要求。尽管FDE为用户提供了强大的安全性，但它在Android 7.0及更高版本中逐渐被文件加密（FBE）取代，以提供更灵活的加密方案。

---

作者简介：https://shimo.im/docs/rp3OVwxle2fJn7Am/
上海徐汇
2024年8月27日

---