使用 Luks 加密整个磁盘（而不是一个大的加密分区）

Question

语境

使用 Luks 加密全新的外置硬盘。即它不是系统驱动器（仅用于存储数据，不用于启动操作系统），并且它是完全空白的。

观察

我发现的关于如何实现这一点的所有描述都遵循以下原则：

1. 创建一个与整个磁盘大小相同的新分区
2. 加密那个分区

一些例子：

从这里：

创建一个新的加密分区：

[...]

加密现有分区

或者在这里。

题

是否可以加密整个磁盘而不是一个大的加密分区？

可能答案是否定的，所以真正的问题是为什么不呢？

换句话说

如果不是打字会发生什么

sudo cryptsetup -v -y luksFormat /dev/sda1

我会打字

sudo cryptsetup -v -y luksFormat /dev/sda

（没有创建sda1）？

Answer 1

在cryptsetup常见问题中提到使用LUKS全磁盘加密。基本上，cryptsetup不关心LUKS设备是什么，分区，磁盘或循环设备，因此您可以使用任何合适的。

sudo cryptsetup -v -y luksFormat /dev/sda

将使用所有/dev/sda.

常见问题解答的第 2.2 节建议用于外部磁盘：

完全加密的原始块设备：为此，将 LUKS 放在原始设备上（例如/dev/sdb）并将文件系统放入 LUKS 容器中，不涉及任何分区。这非常适合用于备份或离线数据存储的外部 USB 磁盘。

请注意，cryptsetup不需要/etc/crypttab.