Linux下的加密存储

手头有个专利涉及Linux系统下的加密存储。提交前先得了解一下背景，所以就用了大半天看了相关的知识。Linux下的加密存储方式主要用两种：eCryptfs和dm-crypt。
eCryptfs是一种文件系统，其特殊之处在它堆叠于其它文件系统之上，对文件做加密处理。加密所用的元数据存储在加密后的文件的头部。它不需要额外的分区。它也不适于加密整个分区。命令如下：
mount -t ecryptfs /home/username/.Private /home/username/Private
.Private是加密前的目录，Private是加密后的目录。需要你回答一些问题，提供passphrase。通过配置你也可以用不同的passphrase加密不同类型的文件。
参考：http://wiki.archlinux.org/index.php/ECryptfs

dm-crypt利用device-mapper机制在块设备层进行加密。纯粹的dm-crypt（不带LUKS）不需要分区/磁盘中额外的header区域存储加密元数据。但不好之处在每次使用设备时需要提供加密用的信息，另外仅靠passphase也难以保证熵。命令如下：
cryptsetup <options> open --type plain <device> <name>
name是加密映射后的设备，可通过/dev/mapper/name访问。
其使用和普通设备一样：
擦除数据：dd if=/dev/zero of=/dev/mapper/name
分区：fdisk /dev/mapper/name
创建文件系统：mkfs.ext4 /dev/mapper/name
配置bootloader有些不同，需要添加参数：
cryptdevice=/dev/sdX:<mapped name>
cryptkey=<device>:<offset>:<size>
crypto=<hash>:<cipher>:<keysize>:<offset>:<skip>
参考：https://wiki.archlinux.org/index.php/Plain_dm_crypt_without_LUKS

在大多数情况下dm-crypt是和LUKS一起使用的。LUKS提供了额外的一层机制存储dm-crypt需要的加密信息。
相比前面无LUKS，多了一个创建的步骤：
cryptsetup -c <cipher> -y -s <key size> luksFormat /dev/<partition>
open操作类似，只是type不同：
cryptsetup open --type luks /dev/<partition> <device-mapper>
此外，使用了LUKS还可以增加额外的passphase：
cryptsetup luksAddKey /dev/<partition> /path/to/additional_key_file
参考：https://wiki.archlinux.org/index.php/Using_DM-Crypt