如何在 Ubuntu 18.04 上加密 /home？

Question

失望地看到 18.04 安装程序不再提供加密主目录的选项。根据安装程序中引用的这个错误报告，现在推荐的加密方法是使用 LUKS 的全盘加密，或者目录的 fscrypt。全盘加密对于我的需求来说似乎有点矫枉过正，而且Wiki上提到的所有错误和警告并没有使它成为一个非常有吸引力的选择。如果我的笔记本电脑被盗，我真正想要的是保护我的主目录免受他人访问我的文档、照片等的影响，让 fscrypt 成为我的选择。

该fscrypt GitHub的页面，对如何设置了一些例子，但我无法找到针对加密在Ubuntu的主目录下的任何文件。旧的 ecryptfs 工具仍然可用，但在设置之后 Ubuntu 有时会在登录屏幕上冻结。

所以我的问题是：如何设置 fscrypt 来加密我的 /home 目录并在我登录时解密？我也喜欢 ecryptfs 如何允许手动解密文件夹（例如，从磁盘映像）。

（这里发布了一个类似的问题，不幸的是因为它是一个“题外”错误报告而被关闭。澄清一下，这不是一个错误报告。从安装程序中删除加密主目录选项的事实是有意的。所有我我在这里问的是如何设置 fscrypt。）

Answer 1

更新 2020-02

我正在运行多个加密家庭fscrypt。在不加密的情况下安装您的系统，并使用本指南fscrypt在您的家中实施。

APIfscrypt将来可能会发生变化，因此如果您尝试升级系统，请务必备份您的重要文件。

（此功能未在桌面上广泛使用。使用风险自负。）

更新 2018-11

TL：博士；您可以fscrypt在 Ubuntu 18.10+ 或 Linux Mint 19.1+ 中尝试

看来这个问题终于解决了。这是一个先发制人的指南：http : //tlbdk.github.io/ubuntu/2018/10/22/fscrypt.html

我没有在这里引用说明，因为它确实需要一些技巧，您最终可能会丢失家庭数据。

警告：来自用户@dpg的警告：“小心：我按照那个“先发制人的指南”（在 tty 下完成）的说明进行了操作，并获得了无限登录循环。”

仅出于教育目的考虑本指南。

接下来是我原来的回答：

原答案 2018-05

TL;DR：在Linux Mint 19 Tara 中使用经典的家庭加密。

fscrypt 因为家庭加密仍然被破坏。

我如何设置 fscrypt 来加密我的 /home 目录并在我登录时解密？

这是我们很多人想要的。Ubuntu 团队似乎无法ecryptfs在 Ubuntu 18.04 上无错误地工作，也无法fscrypt在预定的 Ubuntu 18.04 版本中及时修复家庭加密选项中的错误。

对于fscrypt, 至少是一个严重错误，使其目前无法用于家庭加密：

• fscrypt/问题/77

此外，在它成为“旧”ecryptfs 类型家庭加密的现实替代方案之前，我们需要一种透明的身份验证/解锁方式。这是在这里跟踪：

• fscrypt/问题/95

有了这些问题，您可以认为此时家庭加密已被破坏。因此，我和我的同事认为 Ubuntu 18.04 18.04.1 目前尚未完成，并希望fscrypt在 Ubuntu 18.04.1 18.04.2 中恢复家庭加密（使用新的更好的方法）。

在此之前，我们将坚持使用 Ubuntu 16.04。 我们已将所有机器切换到Linux Mint 19 Tara，并使用ecryptfs. 阅读Linux Mint 19 Tara 发行说明中有关限制的“已知问题”部分，看看您是否可以接受：ecryptfs

(...)请注意，在 Mint 19 和更新版本中，您的加密主目录不再在注销时卸载。

如果您尝试过fscrypt并发现它因您的使用而损坏，您可以在以下启动板错误中投票“这个错误也影响我”：

• ubuntu/fscrypt/+bug/1768340

请注意，fscrypt/ ext4-crypt（未来的“加密主页”）是最快的选项，而ecryptfs（旧的“加密主页”）是最慢的选项。LUKS（“加密整个驱动器”）在中间。

出于这个原因，建议“方便地”使用整个磁盘加密。因为如果你有很多小文件的非常大的项目，经常使用修订管理，进行大编译等等，你会发现加密整个驱动器的过度杀伤实际上是值得的，与旧的 ecryptfs 类型的缓慢相比家庭加密。

最后，加密整个驱动器有多个缺点：

• 来宾帐户
• 带有私人帐户的家庭笔记本电脑
• 使用类似 PREY 的防盗软件

令人费解的是，Canonical在他们的 LTS 版本中决定“我们不再需要这个”，这被称为他们更“严重”的发行版。

Answer 2

从黑豹的回答这里全盘加密加密包括 /home 在内的所有内容，而仅加密特定目录（例如 /home）仅在您未登录时加密。

加密现有用户的主目录：

• 首先注销该帐户并登录到管理员帐户。

• 为作业安装加密实用程序：

  sudo apt install ecryptfs-utils cryptsetup
  

  来自该启动板的错误ecryptfs-utils 现在在 Universe 存储库中。

• 迁移该用户的主文件夹：

  sudo ecryptfs-migrate-home -u <user>
  

  后跟该帐户的用户密码

• 在重新启动之前注销并登录到加密的用户帐户以完成加密过程。

• 在帐户内打印并记录恢复密码：

  ecryptfs-unwrap-passphrase
  

您现在可以重新启动并登录。满意后，您可以删除备份主文件夹。

此外，如果您想使用加密的主目录创建一个新用户：

sudo adduser --encrypt-home <user>

欲了解更多信息：man ecryptfs-migrate-home，man ecryptfs-setup-private。