Ubuntu文件系统加密的几种常用方法

在Ubuntu系统中，若想为文件系统加密以保护数据安全，有多种方案可供选择。从全盘加密到单文件加密，各具适用场景。本文将盘点几种常用方法，帮助您挑选最适合的方案。

使用LUKS（Linux Unified Key Setup）加密整个磁盘

LUKS是Linux生态下最成熟的全盘加密方案，其稳定性与兼容性已历经长期验证。操作流程并不复杂：

• 首先安装所需工具包：

  sudo apt update
  sudo apt install cryptsetup

• 接着对目标磁盘进行加密初始化：

  sudo cryptsetup luksFormat /dev/sdX

• 初始化完成后，需打开加密卷才能访问：

  sudo cryptsetup open /dev/sdX my_encrypted_volume

• 随后即可像普通磁盘一样格式化并挂载：

  sudo mkfs.ext4 /dev/mapper/my_encrypted_volume
  sudo mount /dev/mapper/my_encrypted_volume /mnt

• 若需开机自动挂载，需编辑 /etc/crypttab 和 /etc/fstab 两个配置文件，虽有一定门槛，但一次配置即可长期使用。

使用eCryptfs加密单个文件或目录

若不愿对整个磁盘加密，只想保护某个敏感目录内的数据，eCryptfs是一种轻量级选择。它运行于文件系统层，对用户透明。

• 先安装软件包：

  sudo apt install ecryptfs-utils

• 创建挂载点，例如 /encrypted_data：

  sudo mkdir /encrypted_data

• 挂载时指定加密文件系统类型：

  sudo mount -t ecryptfs /dev/null /encrypted_data

• 接着设置口令并获取密钥：

  sudo ecryptfs-setup-passphrase /encrypted_data your_password

• 将原始数据复制到该加密挂载点，数据即自动加密存储：

  sudo cp /your_original_data/* /encrypted_data/

• 用完后卸载，一切恢复原状：

  sudo umount /encrypted_data

需注意，eCryptfs依赖内核模块，部分新内核可能存在兼容性问题，建议先进行小范围测试。

使用Vaults创建加密文件夹

偏好图形化操作？Vaults是不错的选择，后端支持gocryptfs和cryfs两种加密引擎，界面简洁直观。

• 安装方式通过flatpak完成：

  flatpak install https://dl.flathub.org/repo/appstream/io.github.mpobaschnig.Vaults.flatpakref

• 启动Vaults后，点击左上角的“+”图标，选择“New Vault”。
• 输入新文件夹名称，选择加密软件（推荐gocryptfs，性能稍优）。
• 设置访问密码，并指定加密文件夹的存放位置。

日常使用如同操作普通文件夹，挂载时输入密码即可。对于不熟悉命令行的用户，此方案尤为友好。

使用全盘加密选项（在安装Ubuntu时）

若正准备重装或新装Ubuntu，可在安装过程中的“磁盘加密”步骤直接勾选“加密新装的Ubuntu以提高安全程度”。系统会引导设置加密密钥，安装完成后整个根分区即被LUKS加密，一劳永逸。不过需注意，一旦开启全盘加密，后续修改系统分区会稍显繁琐，建议提前规划好分区布局。

最后提醒：无论选择哪种加密方式，操作前务必做好重要数据备份。加密虽能提升安全性，但一旦密码遗忘或操作失误，数据恢复代价不菲。此外，加密会占用一定CPU资源，对性能敏感的场景（如数据库服务器）需权衡利弊。选择最适合自身使用场景的方法，才是明智之举。