备份 LUKS 加密设备的最佳实践

Question

备份和恢复luks加密设备的最快方法是什么（例如，将完全加密的 USB 设备转换为映像文件）。

可以解密/访问USB 设备。我正在寻找一种将备份映像挂载为文件（加密）的解决方案。有可能吗？

保持简单，愚蠢。

Answer 1

cryptsetup处理图像文件和块设备一样，如果这是你的问题。所以如果你制作一个dd图像（这将是非常巨大的）它会起作用。如果没有，您可以自己创建循环设备。

最佳实践（如果您想保持备份加密）也是加密备份磁盘，然后打开两个容器，然后像使用未加密的文件系统一样运行您选择的任何备份解决方案。它不会是最快的方法，因为它会从源磁盘解密数据，然后为备份磁盘重新加密。另一方面，它允许增量备份解决方案，因此它应该仍然平均击败 dd-image-creation。

如果您想坚持使用dd，那么唯一一种比dd将partimageLUKS 标头和偏移量考虑在内的方法更快，因此它只会存储文件系统实际使用的加密数据。

如果源磁盘是 SSD 并且您允许在 LUKS 内使用 TRIM，并且 SSD 将修剪的区域显示为零，则您可以使用dd conv=sparse. 不过，这仍然不是我推荐的。

Answer 2

最简单的方法是让备份系统独立于加密系统。为备份创建加密卷。挂载原始卷和备份卷，并运行您最喜欢的文件系统级备份软件。

除了简单之外，这种方法的一个优点是备份卷的大小和内容不必与原始卷相同。您可以备份到子目录，也可以进行增量备份等。

还有一个非常小的安全优势。如果攻击者获取您的备份并找到您的密码，并且备份卷是加密卷的直接副本，则您需要重新加密原始卷。如果备份卷是独立加密的，那么更改原始卷上的密码就足够了。

Answer 3

我做了什么

cryptsetup luksOpen <device> <name>
fsarchiver -c - savefs <archive> <filesystem>