Linux下磁盘加密luks使用

使用luks加密磁盘,磁盘需要映射才可以挂载,映射的时候需要输入密码验证。luks相对于是对硬盘上了一把锁,要想打开就得有相应的钥匙,如果打开了就可以随意操作了,和普通硬盘一样。

使用方法如下:

0、分区   创建一个磁盘分区/dev/sdb1,不进行格式化  

[root@localhost]#fdisk /dev/sdb1  

显示当前分区信息   Command m for help):p  

删除分区   Command m for help):d  

开始分区   Command m for help):n  

  Command action     e   extended     p   primary partition 1-4)   p  

  Partition number 1-4): 1  

  First sector 1-104865, default 1): 回车  

  Last sector, +sectors +size{M,K,G} 1-104865, default 104865): 回车  

  保存退出   wq  

 1、加密分区  

[root@localhost]# cryptsetup -v -y -c aes-cbc-plain luksFormat /dev/sdb1    

  WARNING!    

  ========    

  This will overwrite data on /dev/sdb1 irrevocably.    

  Are you sure? Type uppercase yes): YES  --> 注意:这里必须是大写的YES  

  Enter LUKS passphrase:  

  Verify passphrase:   Command successful.

 2、映射分区  

[root@localhost]# cryptsetup luksOpen /dev/sdb1 sx_disk  //把sdb1映射为sx_disk   

  Enter passphrase for /dev/sdb1:  

[root@localhost]# ll -d /dev/mapper/sx_disk   

  lrwxrwxrwx. 1 root root 7  6月 25 03:24 /dev/mapper/sx_disk -> ../dm-0   //查看

[root@localhost]# cryptsetup status /dev/mapper/sx_disk //查看映射分区状态  

  /dev/mapper/

  /dev/mapper/sx_disk is active.   

  type:  LUKS1   cipher:  aes-cbc-plain  

  keysize: 256 bits   device:  /dev/sdb1   

  offset:  4096 sectors   

  size:    16767701 sectors   

  mode:    read/write

 3、挂载使用  

[root@localhost]# mkdir /mnt/sx_disk  

[root@localhost]# mkfs.ext3 /dev/mapper/sx_disk  

[root@localhost]# mount /dev/sdb1 /mnt/sx_disk/   //直接挂载是不可以的   

  mount: unknown filesystem type 'crypto_LUKS'  

[root@localhost]# mount /dev/mapper/sx_disk /mnt/sx_disk/ //挂载映射设备,挂载成功

 4、设置开机自动挂载   生成密钥文件,www.linuxidc.com 如果想开机时手动输入密码可以不生成  

[root@localhost]# touch /root/cryptpasswd  

[root@localhost]# cryptsetup luksAddKey /dev/sdb1 /root/cryptpasswd    

  Enter any passphrase:  

[root@localhost]# cat /root/cryptpasswd  //直接查看密钥为空

 5、设置开机自动解密  

[root@localhost]# vim /etc/crypttab  

[root@localhost]# cat /etc/crypttab  

  sx_disk /dev/sdb1 /root/cryptpasswd   //sx_disk为映射名称,/dev/sdb1是加密设备设备,/root/cryptpasswd为密码文件,如果想开机手动输入密码,密码文件处空着即可  

[root@localhost]# vim /etc/fstab  

[root@localhost]# tail -1 /etc/fstab  

   /dev/mapper/sx_disk       /mnt/sx_disk             ext4 defaults   0 0

 6、程序设置开机启动,在/etc/rc.local里面添加下面内容  

[root@localhost]vim /etc/rc.local   /bin/bash "程序路径"  

 7、关闭映射,先卸载后关闭,注意:卸载后开机不会自己加载密码解锁的,这项在项目中不使用。   需要先退出目录  

[root@localhost]# cd /root  

[root@localhost]# umount /mnt/sx_disk/  

[root@localhost]# cryptsetup luksClose sx_disk  //关闭映射  

[root@localhost]# ll /dev/mapper/  //映射设备已经不见了

  总用量 0   crw-rw----. 1 root root 10, 58  6月 25 03:01 control

 8、禁止进入单用户模式   给grub加个密码,增禁止他人以单用户模式进入系统. 有2个方式:   vim /boot/grub/grub.conf  或者  vim /etc/grub.conf(/etc/grub.conf是/boot/grub/grub.conf的符号链接),

1、明文方式:在splashimage这个参数下一行添加: password=密码。

   保存后重新启动计算机,再次登录到GRUB菜单页面的时候就会发现,这时已经不能直接使用e命令编辑启动标签了,须先使用p命令,输入正确的密码后才能够对启动标签进行编辑.    

   我们设置了明文密码也不是很安全的,如果他人得到了明文密码后仍然可以修改GRUB启动标签从而修改root密码。

2、MD5加密方式:在终端中输入grub-md5-crypt回车,这时系统会要求输入两次相同的密码,之后系统便会输出MD5码。  

   大家只需要将生成的MD5密文复制下来,在splashimage这个参数下一行添加: password --md5 MD5密文比如:              

   #grub-md5-crypt     

         splashimage=hd0,0)/grub/splash.xpm.gz                 

   password --md5 $1$xI6vS$Wi5pi8JyORUNnj3/0Yq2/0                 

         hiddenmenu   

        保存后重新启动计算机,再次登录到GRUB菜单页面的时候就会发现,这时已经不能直接使用e命令编辑启动标签了,须先使用p命令,输入正确的密码后才能够对启动标签进行编辑。

Published by

风君子

独自遨游何稽首 揭天掀地慰生平

发表回复

您的电子邮箱地址不会被公开。 必填项已用 * 标注