LVM 加密物理卷与加密逻辑卷。我安全吗？

Question

我对 Linux 中的磁盘加密技术有点陌生，但我对加密有基本的了解。这是我的条件：

• 我需要“全盘加密”，包括“/”，而不仅仅是“/home”。
• 我不需要 /home 在单独的分区上，我更喜欢一个“/”和交换
• 我需要挂起/休眠才能工作（是的，我知道挂起不安全，但我需要它在人们不会偷我的笔记本电脑的极少数情况下工作）
• 我想使用现代 Linux 发行版安装程序来做到这一点，所以我的选择基本上是 LVM
• 我知道我需要一个未加密的 /boot 分区

但问题是：使用分发安装程序，我可以选择加密物理卷 (PV)，也可以加密 PV 内的逻辑卷 (LV)。

• 哪一个更好？
• 如果我只是加密了物理卷，我安全吗？或者它只是加密某种元数据（例如包含指向内部分区的指针的表）而不是其中的文件系统？
• 有没有我想要 PV 加密 + LV 加密的情况？解释。

LVM 有许多不同的抽象（PV、VG、LV、PE），我担心通过加密我可能只会加密某种元数据表而不是我文件的实际内容。我尝试在谷歌上搜索这个，但是 howtos 通常会解释如何格式化你的分区，而不是我要问的细节。我有一种感觉，人们只是想输入一些软密码，即使他们不知道实际加密的是什么。Linux 发行版安装程序也无济于事（唯一关心在加密之前将随机内容写入磁盘的是 Debian！）。

我做了什么：

• 使用 OpenSuse 安装程序，我在磁盘上创建了一个物理分区并将其标记为“已加密”。然后，我用它创建了一个 LVM 组，并在其中创建了未加密的 / 和交换。这安全吗？

我还在等待安装完成。我需要找到之后如何尝试打破它。

提前致谢。

Answer 1

哪一个更好？

他们都使用相同的技术。如果对物理卷进行加密，那么 LVM 内的所有内容都将被加密。如果您需要/不希望某些内容在 LVM 卷中加密，那么您需要在逻辑卷上保留设置加密。

我担心通过加密某些内容，我可能只是加密某种元数据表，而不是文件的实际内容。

几乎所有安装程序基本上都使用LUKS设置DM-Crypt卷。这会加密整个分区的内容。然后，在加密卷中设置 LVM 为用户提供根据需要调整分区的灵活性是很常见的。

有没有什么情况我会想要PV加密+LV加密？

我想如果您非常偏执，您可能希望拥有包含操作系统和标准文件的标准低安全卷。然后，您可以将极其超级双重加良好的绝密文件隐藏在一个单独的加密卷中，您仅根据需要安装该加密卷。如果您在启动时安装两个卷，那么它根本没有任何意义，您只会有两次加密内容的开销，并且没有太多实际收益。如果您确实设置了类似的内容，那么很明显您需要为内部卷建立完全独立的密钥/密码。