linux系统中有很多的磁盘设备,通常我们希望对它们进行加密,这样会更加的安全。LUKS(linux统一密钥设置)是标准的设备加密格式。LUKS可以对分区或者卷进行加密。尤其要注意的是:必须首先对加密的卷进行解密,才能挂载其中的文件系统。
下面我们来举个栗子看看什么是LUKS。
1.前期准备
支持LUKS的命令是cryptsetup(默认已经安装),如果我们想要看到它所支持的命令,键入命令:
注意观察这几个命令,它们在接下来的操作中将会经常用到:
为了做这个实验,我们重新生成一个设备,生成设备的步骤如下:
2.初识LUKS
cryptsetup其实是一种设备的映射关系,我们用它来把一个设备映射成另外一个设备,然后对这个新的设备进行操作,并进行加密,这样就不会使我们的原设备直接被使用,从而达到一种安全的效果。使用cryptsetup对分区进行了加密后,这个分区就不再允许直接挂载。LUKS也是一种基于device mapper 机制的加密方案。如果要使用这个分区,必须对这个分区做一个映射,映射到/dev/mapper这个目录里去,我们只能挂载这个映射才能使用。然而做映射的时候是需要输入解密密码的。具体的操作如下。
(1)首先对分区进行初始化
注意:这里要大写YES!! 然后输入该设备的密码
(2)映射分区,打开LUKS
这个步骤是把原设备转换成/dev/mapper下的设备,赋予了它新的名字,这个过程需要输入刚才设置的密码。而且操作完以后我们可以看到/dev/mapper这个目录里边确实多了一个disk。
(3)我们确实有了一个设备,但是记住这个设备是不能被直接使用的,必须要对它进行格式化。
(4)完成之后我们对disk进行挂载,挂载是成功的。
(5)之前的实验我们似乎并没有看到LUKS安全到哪里了,只是把原来的设备变了一个名字使用,接着我们关闭映射,然后把原来的设备/dev/vda7挂载上去看看有什么提示:
显然是挂不上的,因为我们已经把它映射到另外一个设备disk了,这样就极大加强了设备的安全性,接着开启luks:
刚才我们已经挂载了映射设备disk,但是却是手动的,我们想要永久的挂载,那么就必须要写入配置文件/etc/fstab中了,但是我们的挂载在开机时是需要输入密码的,显然每次都让人去输入是不合乎常理的,所以也要新建一个文件来存入luks的开启密码,并且指定该文件为密钥文件,首先演示没有进行这些操作时的情况,开机时是要输入密码的,正确的话设备会被挂载,错误的话最多设备不会被挂载,系统依然能够启动:
但这样很麻烦,我们进入永久挂载方法。
1.写入配置文件/etc/fstab
2.写入luks的配置文件/etc/crypttab
3.我们设定/root/password为密钥文件,但是这个文件是不存在的,要建立它而且要设置一些权限问题。
这个是disk的luks密码:
改变权限:
4.最后一步,我们要把这个文件增添到这个luks中,让它能够自动识别。
这样我们就实现了映射设备disk的开机后自动挂载了,但是这个在redhat6.0是官方的已知bug,每次开机时要重新输入密码。其他的版本没有问题,如果操作失败的化请确定你的selinux是否关闭。好了大家可以去尝试一下。哦,如果你测试完后不想设备继续加密,关掉luks的情况下,把原来的设备/dev/vda7重新进行格式化就可以使用了。
这个帖子就讲到这里,关于设备的安全还有很多方面需要考虑,以后再继续讨论。
下面我们来举个栗子看看什么是LUKS。
1.前期准备
支持LUKS的命令是cryptsetup(默认已经安装),如果我们想要看到它所支持的命令,键入命令:
![](https://i-blog.csdnimg.cn/blog_migrate/4d022f124a73b388cf9ce16628aa5d5d.png)
注意观察这几个命令,它们在接下来的操作中将会经常用到:
![](https://i-blog.csdnimg.cn/blog_migrate/456bd1f867dbbff1eb63a47e9c62a9fd.png)
为了做这个实验,我们重新生成一个设备,生成设备的步骤如下:
![](https://i-blog.csdnimg.cn/blog_migrate/f122f896690ce748be30d0824924858c.png)
2.初识LUKS
cryptsetup其实是一种设备的映射关系,我们用它来把一个设备映射成另外一个设备,然后对这个新的设备进行操作,并进行加密,这样就不会使我们的原设备直接被使用,从而达到一种安全的效果。使用cryptsetup对分区进行了加密后,这个分区就不再允许直接挂载。LUKS也是一种基于device mapper 机制的加密方案。如果要使用这个分区,必须对这个分区做一个映射,映射到/dev/mapper这个目录里去,我们只能挂载这个映射才能使用。然而做映射的时候是需要输入解密密码的。具体的操作如下。
(1)首先对分区进行初始化
注意:这里要大写YES!! 然后输入该设备的密码
![](https://i-blog.csdnimg.cn/blog_migrate/592e7d0e627454d78827325b061811f3.png)
(2)映射分区,打开LUKS
这个步骤是把原设备转换成/dev/mapper下的设备,赋予了它新的名字,这个过程需要输入刚才设置的密码。而且操作完以后我们可以看到/dev/mapper这个目录里边确实多了一个disk。
![](https://i-blog.csdnimg.cn/blog_migrate/63c63b0411e10577773010103574f730.png)
(3)我们确实有了一个设备,但是记住这个设备是不能被直接使用的,必须要对它进行格式化。
![](https://i-blog.csdnimg.cn/blog_migrate/fbcc7c3a80f79a971907b999c756e6ab.png)
(4)完成之后我们对disk进行挂载,挂载是成功的。
![](https://i-blog.csdnimg.cn/blog_migrate/d2f75dc238147fbf8b55e72c18432e62.png)
(5)之前的实验我们似乎并没有看到LUKS安全到哪里了,只是把原来的设备变了一个名字使用,接着我们关闭映射,然后把原来的设备/dev/vda7挂载上去看看有什么提示:
![](https://i-blog.csdnimg.cn/blog_migrate/d1a625f8056e5d2c3a5d50e8982de8be.png)
显然是挂不上的,因为我们已经把它映射到另外一个设备disk了,这样就极大加强了设备的安全性,接着开启luks:
![](https://i-blog.csdnimg.cn/blog_migrate/59948b8df05024d5f2731d299142db31.png)
刚才我们已经挂载了映射设备disk,但是却是手动的,我们想要永久的挂载,那么就必须要写入配置文件/etc/fstab中了,但是我们的挂载在开机时是需要输入密码的,显然每次都让人去输入是不合乎常理的,所以也要新建一个文件来存入luks的开启密码,并且指定该文件为密钥文件,首先演示没有进行这些操作时的情况,开机时是要输入密码的,正确的话设备会被挂载,错误的话最多设备不会被挂载,系统依然能够启动:
![](https://i-blog.csdnimg.cn/blog_migrate/340bd96c3327f31665713c64b56183bb.png)
但这样很麻烦,我们进入永久挂载方法。
1.写入配置文件/etc/fstab
![](https://i-blog.csdnimg.cn/blog_migrate/84eb4458a00e9b9ed8e1e3917471ef13.png)
2.写入luks的配置文件/etc/crypttab
![](https://i-blog.csdnimg.cn/blog_migrate/be1dced2a87bbbbed49335ff25f13e49.png)
3.我们设定/root/password为密钥文件,但是这个文件是不存在的,要建立它而且要设置一些权限问题。
这个是disk的luks密码:
![](https://i-blog.csdnimg.cn/blog_migrate/294f75431dd0166c9917700418014d33.png)
改变权限:
![](https://i-blog.csdnimg.cn/blog_migrate/d6fbe50f38666eadc21600771466da6f.png)
4.最后一步,我们要把这个文件增添到这个luks中,让它能够自动识别。
![](https://i-blog.csdnimg.cn/blog_migrate/c46830c7e09c2a981368eb8e2a227b59.png)
这样我们就实现了映射设备disk的开机后自动挂载了,但是这个在redhat6.0是官方的已知bug,每次开机时要重新输入密码。其他的版本没有问题,如果操作失败的化请确定你的selinux是否关闭。好了大家可以去尝试一下。哦,如果你测试完后不想设备继续加密,关掉luks的情况下,把原来的设备/dev/vda7重新进行格式化就可以使用了。
这个帖子就讲到这里,关于设备的安全还有很多方面需要考虑,以后再继续讨论。