LUKS 加密卷应用技术简介

本文分享自天翼云开发者社区 @《LUKS加密卷应用技术简介》，作者: CD

一、LUKS 加密简述

    LUKS（Linux Unified Key Setup）是 Linux 系统下常用的磁盘加密技术之一（是一种加密规范，而非一种加密算法），具有以下特点：支持多密码对同一个设备的访问；加密密钥不依赖密码；可以改变密码而无需重新加密数据；采用一种数据分割技术来保存加密密钥，保证密钥的安全性。

    LUKS 允许用户在一系列对称加密算法（指加密和解密使用相同密钥的加密算法）中进行选择，主要包括：AES 算法、Anubis 算法、Blowfish 算法、Twofish 算法、Serpent 算法、Cast5 算法及 Cast6 算法。此外还需选择加密模式（如 XTS）以及加密模式的初始化向量模式（如 Plain64）。最常见的组合即当前线上所用的 aes-xts-plain64。

    LUKS 需区分两个概念，一个是密码，另一个是加密密钥。密码用于 LUKS 卷的授权访问，而加密密钥用于加密算法实现数据的加解密。在 LUKS 所定义的术语中，加密密钥被称为主密钥（Master Key），在 LUKS 加密卷初始化阶段，随机生成一组向量作为主密钥， 长度一般为 16 或 32 字节（128 或 256 位）。密码由用户指定，长度不限（最大支持 512 位），一个 LUKS 加密卷可以允许设置 8 个密码。

    LUKS 卷所使用的的加密算法/模式以及主密钥都记录在卷的头部信息中，其中主密钥以加密方式存储，且需通过密码计算得到。

    用户挂载使用时只需正确填写密码即可，系统将根据密码从卷的头部信息中解析得到加密算法/模式以及解密得到主密钥，从而对卷进行对称加/解密访问。

二、LUKS 加密应用

    在云计算应用场景中，LUKS 加密卷一般在宿主机或者 Hypervisor 层进行解密，若 LUKS 加密卷内已创建有文件系统，用户在虚拟机内无需额外操作即可直接挂载使用，进行目录/文件的读写访问。一般情况下，用户并不感知 LUKS 加密卷密码，密码由云计算管理平台生成并管理。

    若 LUKS 加密卷未在宿主机或 Hypervisor 层进行解密（对于 Qemu 等虚拟化 Hypervisor，假如无法正确解密，将直接报错无法启动），用户将无法直接将其挂载使用，挂载将提示以下报错：

# mount /dev/vdb /mnt/luks

mount: unknown filesystem type 'crypto_LUKS'

    在用户自行创建和管理加密卷的场景下（一般非云计算应用场景），若用户知晓 LUKS 加密卷密码，此时，使用 cryptsetup luksOpen 命令，交互式输入 LUKS 卷的授权访问密码，后续即可正常挂载使用。

    对于天翼云电脑，可以选择在创建数据盘时将其设置为加密盘。每个加密盘均设置独立的密码，而密码需要有相应的租户权限才能获取。以上保证即使存储系统受到攻击，用户数据也无法被窃取。