写点什么

LUKS 加密卷应用技术简介

  • 2023-03-23
    北京
  • 本文字数:1053 字

    阅读完需:约 3 分钟

本文分享自天翼云开发者社区 @《LUKS加密卷应用技术简介》,作者: CD


一、LUKS 加密简述

    LUKS(Linux Unified Key Setup)是 Linux 系统下常用的磁盘加密技术之一(是一种加密规范,而非一种加密算法),具有以下特点:支持多密码对同一个设备的访问;加密密钥不依赖密码;可以改变密码而无需重新加密数据;采用一种数据分割技术来保存加密密钥,保证密钥的安全性。


    LUKS 允许用户在一系列对称加密算法(指加密和解密使用相同密钥的加密算法)中进行选择,主要包括:AES 算法、Anubis 算法、Blowfish 算法、Twofish 算法、Serpent 算法、Cast5 算法及 Cast6 算法。此外还需选择加密模式(如 XTS)以及加密模式的初始化向量模式(如 Plain64)。最常见的组合即当前线上所用的 aes-xts-plain64。


    LUKS 需区分两个概念,一个是密码,另一个是加密密钥。密码用于 LUKS 卷的授权访问,而加密密钥用于加密算法实现数据的加解密。在 LUKS 所定义的术语中,加密密钥被称为主密钥(Master Key),在 LUKS 加密卷初始化阶段,随机生成一组向量作为主密钥, 长度一般为 16 或 32 字节(128 或 256 位)。密码由用户指定,长度不限(最大支持 512 位),一个 LUKS 加密卷可以允许设置 8 个密码。


    LUKS 卷所使用的的加密算法/模式以及主密钥都记录在卷的头部信息中,其中主密钥以加密方式存储,且需通过密码计算得到。


    用户挂载使用时只需正确填写密码即可,系统将根据密码从卷的头部信息中解析得到加密算法/模式以及解密得到主密钥,从而对卷进行对称加/解密访问。


二、LUKS 加密应用

    在云计算应用场景中,LUKS 加密卷一般在宿主机或者 Hypervisor 层进行解密,若 LUKS 加密卷内已创建有文件系统,用户在虚拟机内无需额外操作即可直接挂载使用,进行目录/文件的读写访问。一般情况下,用户并不感知 LUKS 加密卷密码,密码由云计算管理平台生成并管理。


    若 LUKS 加密卷未在宿主机或 Hypervisor 层进行解密(对于 Qemu 等虚拟化 Hypervisor,假如无法正确解密,将直接报错无法启动),用户将无法直接将其挂载使用,挂载将提示以下报错:

# mount /dev/vdb /mnt/luks

mount: unknown filesystem type 'crypto_LUKS'


    在用户自行创建和管理加密卷的场景下(一般非云计算应用场景),若用户知晓 LUKS 加密卷密码,此时,使用 cryptsetup luksOpen 命令,交互式输入 LUKS 卷的授权访问密码,后续即可正常挂载使用。


    对于天翼云电脑,可以选择在创建数据盘时将其设置为加密盘。每个加密盘均设置独立的密码,而密码需要有相应的租户权限才能获取。以上保证即使存储系统受到攻击,用户数据也无法被窃取。

用户头像

还未添加个人签名 2022-02-22 加入

天翼云是中国电信倾力打造的云服务品牌,致力于成为领先的云计算服务提供商。提供云主机、CDN、云电脑、大数据及AI等全线产品和场景化解决方案。

评论

发布
暂无评论
LUKS加密卷应用技术简介_天翼云开发者社区_InfoQ写作社区