加密分区有多安全？

Question

在安装 Ubuntu 16.04 时，我选择加密文件系统，现在在 Ubuntu 启动之前提示我输入密码。

我想知道我的内容有多安全？具体来说：

• 驱动器上的所有内容（包括我的数据）都加密了吗？

• 这种加密有多强？（我知道，这是一个时间和资源以及我选择的密码的问题，但我的意思是在实际意义上......任何人都可以推平我的前门，但普通的小偷没有资源或倾向闯入房子）。例如，如果我将我的笔记本电脑送去维修，或者如果我的笔记本电脑丢失或被盗，我是否需要担心没有真正紧迫的理由来尝试解密它的人可以轻松访问？（我知道这里有人问过类似的问题，但那是很久以前的事了，所以也许事情已经改变了？）

• 此外，加密是否会阻止我 (a) 将带有加密文件系统的 SSD 安装到不同的设备中，或者 (b) 对驱动器进行完整备份（例如，使用实时版本的 Ubuntu）并且在某些时候恢复那个备份？

• 此外，如果整个文件系统都被加密，那么在 Ubuntu 中加密我的主文件夹是否也有任何价值？

Answer 1

• 如果您选择通过 LUKS 加密新系统，则整个系统都会被加密。这包括您的系统文件、主文件夹（以及您的数据）以及交换分区。这意味着您可以使用挂起到磁盘（又名休眠）并仍然拥有全盘加密的所有好处。正如评论中指出的那样，Ubuntu 默认使用挂起到 RAM。为了让 Ubuntu 使用挂起到磁盘，您必须按照help.ubuntu.com上的说明进行操作，该说明显然仅适用于有限数量的机器。
• 在可预见的未来，256 位 AES 加密可能足够强大。正如此处在 Cryptography Stack Exchange 上所讨论的那样，暴力破解 AES-256 的成本约为世界 GDP 的 100 万亿倍——这是您能想象的最接近不可能的事情。即使是暴力破解 128 位 AES 加密也需要大约世界 GDP 的 1000 倍。
• 除了 LUKS 标头（HDD/SSD 之一）和您的密码（在您的脑海中）之外，LUKS 密钥不会被任何东西锁定。这允许您 (a) 在任何其他机器上使用它，只要这也适用于未加密的系统磁盘，即对于普通系统应该可以完美运行。至于 (b)，是的，您可以使用 进行整个磁盘备份dd，但请注意，这些映像不会压缩到任何显着量。这是因为加密数据的性质与没有密码的随机数据无法区分。
• 这只有学术上的好处，即在消耗了第一个 tredecillion 世界 GDP 以破坏您的全盘加密之后，攻击者需要另一个 tredecillion 世界 GDP 才能进入您的加密主文件夹（假设不同的密码/密钥）。因此，它实际上将您的加密从 256 位加强到 257 位密钥长度。就个人而言，我什至在全盘加密机器上使用自动登录，因为我认为磁盘加密足够安全，不需要在启动后再次输入密码。

Answer 2

• 并非驱动器上的所有内容都已加密，但您的数据已加密。

  未加密的部分是您的/boot区域，因为它在启动期间使用。可以在此处找到由此产生的一些有趣结果。

• 您可以通过运行找出特定安装的密码强度

  ls /dev/mapper/ |grep crypt
  

  输出将是 YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  例子：

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  您的加密等级将根据您在 Ubuntu 上安装的时间以及您使用的版本而有所不同，但即使是较旧的设置也会相当强大，并且可能会阻止随意破解。关于 Ubuntu 块级加密的一个很好的讨论：Ubuntu 的默认全盘加密有多安全？

• 在不同的硬件上启动加密驱动器不会有问题。如果您对加密驱动器进行逐位复制，您仍然可以正常启动，并使用密码登录。复制操作应该在“脱机”时完成（在关闭驱动器后卸载驱动器）。在线数据抓取不太可能奏效，但我不是 100% 肯定。

• “主文件夹”加密基于“文件中的主文件夹”理念。如果系统未加密，而文件系统将被挂载，则加密的主目录将是一个使用 cryptsetup 加密的大文件。因此，在加密系统中加密您的主文件夹会增加获取您的个人文件的难度。然而，可能存在性能权衡。更多关于加密家庭。