Linux 磁盘加密技术：FDE、FBE 与 eCryptfs 实现分析

本文回顾了 Linux 磁盘加密技术，讲解了静态数据安全概念，对比了全盘加密（硬件方案与 dm-crypt/LUKS）与基于文件系统的加密（堆叠式 eCryptfs 与原生 fscrypt），并深入分析了 eCryptfs 的架构、密钥管理和实现细节。

本文是 Linux 内核安全技术系列的第二篇，聚焦磁盘加密技术及主流实现方案。内容涵盖三大方面：

  • 技术背景：介绍不同状态下的数据安全——使用中的数据（Data in Use，包括 Intel TME 和 AMD SME 等全内存加密）、传输中的数据（Data in Motion/Transit，SSL/TLS、SSH）以及静态数据（Data at Rest，磁盘加密）。文章讲解了多种加密分类维度，包括加密对象、用户感知和加密算法。
  • 磁盘加密方案：详细分析两种实现路径——全盘加密（FDE）和基于文件系统的加密（FBE）。FDE 包括硬件方案（自加密硬盘）和软件方案（dm-crypt/LUKS、BitLocker、FileVault）。FBE 分为堆叠式加密文件系统（eCryptfs、基于 FUSE 的方案）和原生文件系统加密（fscrypt，支持 Ext4、F2FS、UBIFS）。文章从灵活性、性能和实现等方面对 FDE 与 FBE 进行了全面对比。
  • eCryptfs 深度剖析：对 eCryptfs 进行了大量分析，包括演示透明加密的测试用例、文件加密特性、密钥管理机制（FEK——文件加密密钥，FEKEK——文件加密密钥的加密密钥）、架构设计以及代码流程分析。文章解释了 eCryptfs 如何实现每个文件使用唯一加密密钥，以及从用户口令派生密钥的过程。

本文引用了多篇学术论文，包括《eCryptfs: an enterprise-class cryptographic filesystem for Linux》（2005）和《eCryptfs: a Stacked Cryptographic Filesystem》（2007），为 Linux 磁盘加密技术提供了理论基础和实践实现细节。

已登录的读者可通过 BestHub 的受保护跳转链接打开原文来源。

本文由源材料提炼、总结后重新发布，仅供学习和参考。如果您认为其侵犯了您的权益，请联系我们，我们将及时审核。

OPPO 内核工匠

分享 Linux 内核相关的前沿技术、技术文章、技术新闻和精选教程

社区反响如何

值得您花时间阅读吗？

0 条评论

有见地的读者会在这里留下实地笔记、不同意见和来之不易的实践经验。