加密目录的最简单方法是什么？（在 Ubuntu 上）

Question

在基于 Ubuntu 的系统上加密目录的最简单方法是什么？

假设我有一台运行 Ubuntu 10.04 的笔记本电脑，并且我有一些应该保持安全的文档（如果我丢失了笔记本电脑）。

假设所有文档都在一个名为 ~/work/ 的目录中，并且在这个目录之外没有任何秘密。所以不需要加密整个主目录。

应该有一种方法可以从命令行锁定/解锁这个目录。

似乎有一些不同的方法可以做到这一点：

• ecryptfs-utils
• 密码设置
• truecrypt（但不是 OSI 批准的开源）

但最简单、最可靠的方法是什么？

谢谢约翰

---

更新：相关问题，但不一样在 ubuntu 10.04 中加密所有文件的最简单方法是什么？

Answer 1

有三种方法：在分区上设置加密卷（dm-crypt，配置为cryptsetup），设置作为加密卷的文件（truecrypt），设置每个文件单独加密的目录（ecryptfs或encfs）。

设置加密卷可提供更多机密性，因为文件的元数据（大小、修改时间）是不可见的。不利的一面是，它不太灵活（您必须提前决定加密卷的大小）。该ecryptfs常见问题列出了两种方法之间的一些差异。

如果您选择逐个文件加密，我知道有两个选项：ecryptfs和encfs. 前者使用内核驱动程序，而后者使用 FUSE。这可能会带来ecryptfs速度优势；它提供encfs了灵活性优势，因为无需以 root 身份执行任何操作。一个可能的好处ecryptfs是，一旦你完成了初始设置，你就可以使用你的登录密码作为文件系统密码，这要归功于该pam_ecryptfs模块。

对于我自己在类似情况下的使用，我选择了encfs，因为我没有看到其他解决方案的任何实际安全优势，因此易用性是决定性因素。性能没有问题。工作流程非常简单（第一次运行encfs创建文件系统）：

aptitude install encfs
encfs ~/.work.encrypted ~/work
... work ...
fusermount -u ~/work

我建议您还加密您的交换空间和任何可能写入临时机密文件的地方，例如/tmp和/var/spool/cups（如果您打印机密文件）。使用cryptsetup加密交换分区。最简单的处理方法/tmp是通过将其安装为将其保留在内存中tmpfs（这在任何情况下都可能带来轻微的性能优势）。