Unix Toolbox - 中文版 - LinuxTone.Org

— 分 区 加 密 —
Detach
# umount /mnt
# cryptsetup luksClose sdc1
dm-crypt without LUKS
# cryptsetup -y create sdc1 /dev/sdc1 # 或 任 何 其 他 分 区 像 /dev/loop0
# dmsetup ls # 检 查 一 下 , 将 显 示 :sdc1 (254, 0)
# mkfs.ext3 /dev/mapper/sdc1 # 只 有 第 一 次 要 这 么 做 !
# mount -t ext3 /dev/mapper/sdc1 /mnt
# umount /mnt/
# cryptsetup remove sdc1 # Detach 已 加 密 的 分 区
这 样 做 等 同 于 ( 非 mkfs 部 分 ) re-attach 分 区 。 如 果 密 码 不 正 确 ,mount 命 令 将 会 失 败 。 对 于 这 个 例 子 , 只 要
简 单 的 移 除 sdc1 (cryptsetup remove sdc1) 并 重 建 即 可 。
10.2 FreeBSD
两 个 流 行 的 FreeBSD 磁 盘 加 密 模 块 为 gbde 和 geli。 我 现 在 使 用 geli 原 因 是 它 够 快 并 且 它 使 用 加 解 密 硬 件 加
速 设 备 。 详 情 可 看 FreeBSD 使 用 手 册 18.6 33 。geli 模 块 必 须 已 编 译 或 加 载 进 内 核 :
options GEOM_ELI
device crypto
# 内 核 配 置 文 件 中 加 入 这 两 行
# echo 'geom_eli_load="YES"' >> /boot/loader.conf # 也 可 以 在 系 统 引 导 时 加 载 或 者 做 :kldload geom_eli
使 用 密 码 和 密 钥
我 为 一 个 典 型 的 磁 盘 加 密 使 用 这 些 设 置 , 其 使 用 了 一 个 口 令 和 一 个 加 密 主 密 钥 (master key) 的 密 钥 。 这 意 味 着 你
需 要 密 码 和 生 产 的 密 钥 /root/ad1.key 来 attach 分 区 。 主 密 钥 存 储 在 这 个 加 密 分 区 中 并 且 不 可 见 。 看 下 面 为
USB 或 映 像 文 件 的 加 密 设 置 。
创 建 加 密 分 区
# dd if=/dev/random of=/root/ad1.key bs=64 count=1 # 加 密 主 密 钥 的 密 钥
# geli init -s 4096 -K /root/ad1.key /dev/ad1 # 对 于 磁 盘 也 可 用 -s 8192
# geli attach -k /root/ad1.key /dev/ad1 # 将 /dev/ad1 与 所 生 成 的 密 钥 /root/ad1.key 关 联
# dd if=/dev/random of=/dev/ad1.eli bs=1m # 可 选 , 需 要 很 长 时 间
# newfs /dev/ad1.eli # 创 建 文 件 系 统
# mount /dev/ad1.eli /mnt
Attach
# geli attach -k /root/ad1.key /dev/ad1
# fsck -ny -t ffs /dev/ad1.eli # 检 查 文 件 系 统
# mount /dev/ad1.eli /mnt
Detach
Detach 步 骤 会 在 关 机 时 自 动 完 成 。
# umount /mnt
# geli detach /dev/ad1.eli
/etc/fstab
加 密 分 区 在 /etc/fstab 中 配 置 成 自 动 加 载 。 系 统 启 动 时 会 询 问 加 密 分 区 的 密 码 。 对 于 本 例 下 列 设 置 是 必 须 的 :
# grep geli /etc/rc.conf
geli_devices="ad1"
geli_ad1_flags="-k /root/ad1.key"
# grep geli /etc/fstab
/dev/ad1.eli /home/private ufs rw 0 0
33.http://www.freebsd.org/handbook/disks-encrypting.html
30