linux开放源码dm-crypt

《linux开放源码dm-crypt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、UbuntuLinux之加密文件系统篇本文将详细介绍利用dm-crypt来创建加密文件系统的方法。与其它创建加密文件系统的方法相比，dm-crypt系统有着无可比拟的优越性：它的速度更快，易用性更强。除此之外，它的适用面也很广，能够运行在各种块设备上，即使这些设备使用了RAID和LVM也毫无障碍。dm-crypt系统之所以具有这些优点，主要得益于该技术是建立在2.6版本内核的device-mapper特性之上的。device-mapper是设计用来为在实际的块设备之上添加虚拟层提供一种通用灵活的方法，以方便开发人员实现镜像、快照、级联和加密等处理。此外，dm-crypt

2、使用了内核密码应用编程接口实现了透明的加密，并且兼容cryptloop系统。一、配置内核dm-crypt利用内核的密码应用编程接口来完成密码操作。一般说来，内核通常将各种加密程序以模块的形式加载。对于256-bitAES来说，其安全强度已经非常之高，即便用来保护绝密级的数据也足够了。因此本文中我们使用256-bitAES密码，为了保证您的内核已经加载AES密码模块，请利用下列命令进行检查：$cat/proc/crypto如果看到类似下面的输出的话，说明AES模块已经加载：name:aesmodule:aestype:cipherblocksize:16minkeysiz

3、e:16maxkeysize:32否则，我们可以利用modprobe来手工加载AES模块，命令如下所示：$sudomodprobeaes接下来安装dmsetup软件包，该软件包含有配置device-mapper所需的工具：$sudoapt-getinstalldmsetupcryptsetup为检查dmsetup软件包是否已经建立了设备映象程序，键入下列命令：$ls-l/dev/mapper/control接下来加载dm-crypt内核模块：$sudomodprobedm-cryptdm-crypt加载后，它会用evice-mapper自动注册。如果再次检验的话，dev

4、ice-mapper已能识别dm-crypt，并且把crypt添加为可用的对象：$sudodmsetuptargets如果一切顺利，现在你应该看到crypt的下列输出：cryptv1.1.0stripedv1.0.2linearv1.0.1errorv1.0.1这说明我们的系统已经为装载加密设备做好了准备。下面，我们先来建立一个加密设备。二、建立加密设备要创建作为加密设备装载的文件系统，有两种选择：一是建立一个磁盘映像，然后作为回送设备加载；二是使用物理设备。无论那种情况，除了在建立和捆绑回送设备外，其它操作过程都是相似的。1.建立回送磁盘映象如果你没有用来加密的物理设

5、备（比如存储棒或另外的磁盘分区），作为替换，你可以利用命令dd来建立一个空磁盘映象，然后将该映象作为回送设备来装载，照样能用。下面我们以实例来加以介绍：$ddif=/dev/zeroof=~/secret.imgbs=1Mcount=100这里我们新建了一个大小为100MB的磁盘映象，该映象名字为secret.img。要想改变其大小，可以改变count的值。接下来，我们利用losetup命令将该映象和一个回送设备联系起来：$sudolosetup/dev/loop/0~/secret.img现在，我们已经得到了一个虚拟的块设备，其位于/dev/loop/0，并且我们能够

6、如同使用其它设备那样来使用它。2.设置块设备准备好了物理块设备（例如/dev/sda1），或者是虚拟块设备（像前面那样建立了回送映象，并利用device-mapper将其作为加密的逻辑卷加载），我们就可以进行块设备配置了。下面我们使用cryptsetup来建立逻辑卷，并将其与块设备捆绑：$sudocryptsetup-ycreatemyEncryptedFilesystem/dev/DEVICENAME其中，myEncryptedFilesystem是新建的逻辑卷的名称。并且最后一个参数必须是将用作加密卷的块设备。所以，如果你要使用前面建立的回送映象作为虚拟块设备的话，

7、应当运行以下命令：$sudocryptsetup-ycreatemyEncryptedFilesystem/dev/loop/0无论是使用物理块设备还是虚拟块设备，程序都会要你输入逻辑卷的口令，-y的作用在于要你输入两次口令以确保无误。这一点很重要，因为一旦口令弄错，你就会把自己的数据锁住，这时谁也帮不了您了！为了确认逻辑卷是否已经建立，可以使用下列命令进行检查一下：$sudodmsetupls只要该命令列出了逻辑卷，就说明已经成功建立了逻辑卷。不过根据机器的不同，设备号可能有所不同：myEncryptedFilesystem(221,0