Ubuntu文件系统加密方法从入门到精通完整教程

在 Ubuntu 系统中保护数据安全，文件系统加密往往是许多人最先想到的解决方案。无论是因为设备遗失，还是需要与多人共用一台计算机，加密都能为你的隐私文件提供切实有效的屏障。那么，在 Ubuntu 环境下究竟有哪几种加密方式？各自又适合哪些应用场景？本文将为你详细剖析几种主流的加密方法，帮助你做出最合适的选择。

使用 Seahorse 进行 GPG 加密

如果你只需要对单个文件或文件夹进行加密，而不希望改动整个操作系统，那么 GPG 配合 Seahorse 将是一个非常轻量的选择。Seahorse 实际上是 Ubuntu 自带的“密码和密钥”管理工具，虽然名字听起来有些陌生，但只需在系统菜单中搜索即可快速找到。

• 安装 Seahorse：这一步通常无需额外操作，因为桌面版 Ubuntu 默认已预装该组件。如果确实没有，在软件中心搜索并安装即可。
• 创建 PGP 密钥：打开 Seahorse，点击“添加新项目”，选择“GPG 密钥”。随后会弹出一个向导，你需要填写姓名、电子邮件地址，选择密钥类型和长度（通常 2048 位或 4096 位即可满足需求），最后设置一个密码短语。这个短语务必牢记，一旦丢失，就等于丢失了加密的“钥匙”。
• 加密文件：密钥创建完成后，加密过程变得非常直观。在 Nautilus 文件管理器中，右键点击你想要保护的文件或文件夹，选择“加密”，然后挑选你之前生成的密钥。解密时，系统会提示你输入密码短语。

这套流程特别适合日常保护敏感文档、配置文件等小尺寸数据，而且无需改动系统底层，用完后即关闭，非常灵活。

使用 Vaults 创建加密文件夹

如果你更倾向于“将多个文件放入一个加密容器”的操作方式，Vaults 这个工具会非常顺手。它基于 gocryptfs 或 cryfs 这两种加密文件系统，核心原理是在硬盘上创建一个加密的容器，挂载后可以像普通文件夹一样正常读写。

• 安装 Vaults：由于 Vaults 是 Flatpak 应用，你需要先安装 Flatpak 守护进程。在终端输入 sudo apt install flatpak 完成安装后，再用 flatpak install flathub org.gnome.gitlab.somas.Apostrophe（注意 Vaults 的正确包名，原文可能稍有偏差，但思路一致）来安装。你也可以直接在软件中心搜索“Vaults”尝试安装。
• 创建加密文件夹：打开 Vaults，点击“+”号，选择“New Vault”。为这个加密空间起个名称，选择加密后端（gocryptfs 或 cryfs），设置一个强密码，再指定该加密文件夹的存放位置。创建完成后，你会在指定目录下看到一个加密文件夹，内部数据均已加密。日常使用时，挂载这个“保险箱”，往里存放文件，退出时取消挂载，一切便自动锁定。

这种方法特别适合管理项目资料、照片集、笔记库等需要频繁读写的文件夹，远比逐文件使用 GPG 加密更加高效。

加密整个文件系统（全盘加密）

如果你的目标是“即使整台电脑丢失，别人也无法读取任何数据”，那么全盘加密是唯一选择。这里有两条主流路径：

• 利用 Ubuntu 安装程序的加密选项：在安装 Ubuntu 时，有一页会询问你是否“加密新装的 Ubuntu 以提高安全性”。勾选该选项，然后设置一个加密密钥。每次开机时都需要输入这个密钥（休眠恢复时可能跳过）。整个系统的根分区（包括系统文件、应用和个人数据）都会被 LUKS 加密，只有输入正确的密钥才能解密启动。这是最简单也最推荐给新手使用的全盘加密方案。
• 手动使用 dm-crypt / LUKS：如果你需要在现有的 Live 环境中手动配置，或者希望更精细地控制分区布局，可以借助 cryptsetup 工具。先在 Live Ubuntu 中创建加密卷（例如 sudo cryptsetup luksFormat /dev/sdX），然后打开它（sudo cryptsetup open /dev/sdX myencrypted），在上面创建文件系统，最后让安装器将系统装到这个加密卷上。配置 boot 分区（通常不加密）和 LUKS 头文件等细节需要特别留意，否则系统可能无法正常引导。

全盘加密的优势在于一劳永逸——只要电脑关机，所有数据都处于加密状态。代价是每次开机都必须输入密码（除非配置了 TPM 自动解锁），而且一旦忘记密钥，数据将永远无法恢复。

加密主文件夹

还有一些用户可能只想保护自己的个人目录（/home/用户名），而让系统文件保持原样。此时可以使用 ecryptfs 这个经典工具。

• 安装工具：打开终端，运行 sudo apt install ecryptfs-utils cryptsetup，安装所需的组件。
• 加密主文件夹：注意这一步比较特殊——你需要先注销当前用户，然后使用一个临时管理员账户登录（或者直接打开一个 tty）。接着执行 sudo ecryptfs-migrate-home -u 你的用户名。这个命令会将当前用户的整个家目录迁移到一个加密的 ecryptfs 容器中，原始数据会被复制并加密。完成后再次登录，系统会在你输入密码时自动解密并挂载 /home/你的用户名/.Private 目录。

主文件夹加密的优点是只影响个人数据，系统升级或修复时更加灵活。不过 ecryptfs 在较新 Ubuntu 版本中的支持度有所下降（例如 22.04 仍可使用，但 24.04 可能需要额外配置），而且对大量小文件读写会产生一定性能开销，不过日常使用影响不大。

最后提醒一句：无论选择哪种加密方式，数据安全的核心始终是密钥管理。把密码写在便签纸上贴在屏幕边缘，等于没有加密。建议使用密码管理器妥善保管密钥，同时做好重要数据的定期备份——加密无法防止硬盘损坏，它仅能阻止他人窥探你的隐私。另外，加密确实会对系统性能产生一定影响（尤其是全盘加密，启动和磁盘读写会变慢一些），但在安全性面前，这个代价通常是可以接受的。