NTFS分区的LUKS加密

Question

我将在我的 System76 笔记本电脑上全新安装 Ubuntu 18.04，该笔记本电脑当前安装了一个 SSD 驱动器。

很快我将在安装 Windows 8.1 的同一台笔记本电脑上安装第二个 SSD。

我 85% 的时间都会使用 Ubuntu。但是，我希望 Windows 安装能够轻松访问（读取和写入）我的数据文件（文档、电子表格、图片、视频、pdf）。

在 18.04 安装中，我想到使用 Ubuntu 安装程序默认分区设置和加密 + 添加 NTFS 分区，这将是最大的分区；这就是我放置数据文件的地方。我还想加密 NTFS 分区。

2个问题：

1. 这听起来是个好方法吗？
2. 使用 LUKS 加密 NTFS 分区如何工作？或者 LUKS 是否加密整个驱动器，而不是每个分区？

Answer 1

让我按顺序回答您的问题，首先解释为什么使用 LUKS 加密您的 NTFS 分区不是一个好主意。

首先，LUKS 是如何运作的？

LUKS 可用于加密文件（文件容器）、分区或整个磁盘。如果您让安装程序为您加密所有内容，实际上会创建两个分区：一个启动分区和一个 LUKS 加密分区，其中包含根目录及其所有子目录（/boot 及其子目录除外）。如果您使用 UEFI，还会有第三个 EFI 分区。这意味着您将无法选择创建所需的 NTFS 分区。这不可避免地意味着您将需要使用手动分区。这是一个复杂的过程，并不像您想象的那么简单。我在其他地方写了两个关于手动分区 LUKS 的答案（使用 LVM和不使用 LVM）。在您的情况下，您不希望将 NTFS 分区放入您可能创建的任何 LVM 分区中，因为 Windows 无法访问 LVM 逻辑卷中的 NTFS 分区。
更复杂的是，Windows 无法本地解密 LUKS 分区，因此最终，您必须安装另一个软件，例如LibreCrypt，但正如您从链接答案中的评论中看到的那样，LibreCrypt 似乎已被放弃，所以这可能不是一个不错的选择。因此，虽然使用 LUKS 加密 Linux 安装没问题，但使用 LUKS 加密将在 Linux 和 Windows 系统之间共享的 NTFS 分区可能并不明智。

什么可能是更好的方法？

这留给我们的问题是如何加密分区，以便 Linux 和 Windows 都能够解密它以访问包含的 NTFS 分区？曾几何时，我会推荐 TrueCrypt。当然，TrueCrypt 的开发突然停止了。所以这不再是一个选择。一旦停止，就会创建一个名为 VeraCrypt 的分叉，并且仍在维护中。VeraCrypt 可以安装在 Windows 和 Linux 上，从而可以从这两个操作系统访问任何给定的 VeraCrypt 加密分区。作为开源代码，该代码可供公众审查。VeraCrypt可能是您的最佳选择。
我怀疑 VeraCrypt 是否可以用来加密你的整个 Linux 系统，但我从未尝试过，所以我不会说这是不可能的。如果我尝试按照您所描述的方式设置双引导系统，那么我可能会这样做...按照我在此处
描述的方式使用手动分区安装 Ubuntu ，但在现有磁盘上创建以下物理分区。

• 分区 1：EFI（仅当您使用 UEFI 时）
• 分区2：/boot
• 分区 3：LVM（包含所有其他仅限 Linux 的分区）
• 分区 4：空分区——格式无关紧要——保留用于 VeraCrypt 加密（在解密状态下，这将容纳您的 NTFS 分区）

安装 Linux 后，您可以安装 VeraCrypt并使用 VeraCrypt 加密最后一个分区，选择 NTFS 作为包含的文件系统。

我不会声称这个过程会很容易。如果您尝试这样做，有时可能会遇到一些令人沮丧的障碍，但这可能是使用我撰写此答案时当前维护的现有加密技术来完成您想要完成的任务的最简单方法。