在Linux环境中保护敏感数据，最直接有效的手段是在系统层面启用磁盘或文件加密。不同于应用层自己写加解密逻辑，Linux提供的子系统可以把加密过程下沉到内核，对上层程序完全透明。无论是笔记本丢失、服务器硬盘被拆，还是云主机快照泄露，只要没有密钥，数据内容就无法还原。
使用LUKS与dm-crypt建立块设备加密
LUKS（Linux Unified Key Setup）是Linux上最常见的磁盘加密规范，它把密钥管理、哈希、加密算法参数都封装在分区头部，配合内核的dm-crypt模块实现透明加密。实际操作中我们主要用cryptsetup工具。下面以一块空磁盘/dev/sdb为例，先清空原有分区表，再创建LUKS容器。
创建时需要选择加密算法与密钥长度，默认aes-xts-plain64配合512位密钥已足够安全。命令会要求输入两次密码，该密码用于解锁主密钥。之后映射出的/dev/mapper/secure就是一个普通块设备，可以照常做文件系统和挂载。
# 在空盘上初始化LUKS，交互式设置密码 cryptsetup luksFormat /dev/sdb # 打开LUKS容器，映射为 mapper 设备 cryptsetup open /dev/sdb secure # 在映射设备上创建 ext4 文件系统 mkfs.ext4 /dev/mapper/secure # 挂载使用 mkdir -p /mnt/secure mount /dev/mapper/secure /mnt/secure
这种块级加密的优势在于性能损耗低，通常低于5%，且不需要逐个文件处理。缺点是整个分区必须一起卸载才能关闭，不适合只加密家目录中某几个文件的场景。若要开机自动挂载，可将密钥文件放在另一块已加密的根盘，或用keyfile方式免除人工输入。
通过keyfile实现自动解锁与多密钥管理
服务器环境往往无法在重启时人工输入密码，这时可以生成一个随机文件作为附加密钥槽。LUKS支持最多8个密钥槽，意味着你能同时用密码和keyfile解锁，既方便运维又保留应急手段。keyfile本质上是一段随机字节，权限应设为600防止泄漏。
生成keyfile后，用cryptsetup luksAddKey把它注册进LUKS头。然后在/etc/crypttab里写明设备、keyfile路径，系统初始化时就会自动打开。需要注意keyfile本身若存放在未加密分区，等于门户大开，因此通常放在已加密的根文件系统内。
# 生成 4K 随机 keyfile dd if=/dev/urandom of=/root/secure.key bs=512 count=8 chmod 600 /root/secure.key # 将 keyfile 添加为 LUKS 第二密钥槽 cryptsetup luksAddKey /dev/sdb /root/secure.key # /etc/crypttab 内容示例 # secure /dev/sdb /root/secure.key luks
多密钥槽还能用于员工离职场景：撤销某人持有的密码槽，而不影响其他槽。用cryptsetup luksRemoveKey或按槽位luksKillSlot操作即可。这种灵活权限模型是LUKS比单纯全盘软件加密更适企业的主要原因。
对比eCryptfs文件级加密的适用差异
除了块设备加密，Linux还支持eCryptfs这类堆叠式文件加密。它在文件系统上层工作，可以只加密某个目录如/home/alice，每个文件用独立密钥包装。这种方案无需预先划分分区，非常适合多用户共享一台机器时保护私人目录。
但eCryptfs因为要逐文件加解密元数据和内容，小文件极多时性能下降明显，且文件名默认明文（除非启用filename encryption）。与之相比，前文LUKS在块层处理，对文件系统不可见，无法按文件授权。下表列出核心区别：
| 维度 | LUKS/dm-crypt | eCryptfs |
|---|---|---|
| 加密粒度 | 整个分区或磁盘 | 单个目录或文件 |
| 性能开销 | 低，接近原生磁盘 | 较高，尤其大量小文件 |
| 部署前置条件 | 需空分区或整盘 | 现有文件系统直接挂 |
| 密钥管理 | 多槽位集中管理 | 登录口令或密钥文件 |
实践里常组合使用：系统盘用LUKS防物理窃取，用户私密资料再用eCryptfs做二次隔离。这样即便LUKS被运维人员解锁，普通用户间仍无法互看文件。理解两者定位，才能在Linux上设置出既安全又顺手的数据加密方案。