Linux eCryptFS 文件加密實戰：從安裝到掛載的完整指南

eCryptFS 是 Linux 內核級企業級文件加密系統，采用疊層文件系統架構，無需分區即可透明加密目錄。本文詳解安裝配置、掛載使用、算法選擇與最佳實踐。

加密方案對比

eCryptFS 核心特性

• 內核模塊（2.6.19+），FUSE 用戶態工具
• 支持 EXT4/XFS/Btrfs/JFS/NFS/CIFS 等底層文件系統
• 默認 AES，可選 blowfish/des3/cast5/cast6
• Ubuntu/Chrome OS 默認家目錄加密方案
• 單文件獨立加密，支持增量備份

安裝部署

# Debian/Ubuntu
sudo apt install ecryptfs-utils

# CentOS/RHEL/Fedora
sudo yum install ecryptfs-utils

# Arch Linux
sudo pacman -S ecryptfs-utils

手動設置加密目錄

1. 準備目錄

mkdir -p ~/secret ~/secret_clear  # 加密存儲目錄 + 掛載點

2. 首次掛載（交互式設置密碼）

sudo mount -t ecryptfs ~/secret ~/secret_clear
# 提示輸入：
# Passphrase: *************
# Select cipher: 1) aes  2) blowfish  3) des3  4) cast5  5) cast6 [aes]:
# Key bytes: 1) 16  2) 32  3) 24 [16]:
# Enable plaintext passthrough? [n]
# Enable filename encryption? [y]
# Add signature to cache? [y]

3. 非交互式掛載（腳本適用）

sudo mount -t ecryptfs ~/secret ~/secret_clear \
  -o key=passphrase:passphrase_passwd=YourPassword \
  -o ecryptfs_cipher=aes \
  -o ecryptfs_key_bytes=16 \
  -o ecryptfs_enable_filename_crypto=y \
  -o ecryptfs_passthrough=n \
  -o ecryptfs_sig=$(printf "%s" "YourPassword" | sha512sum | cut -d' ' -f1 | head -c 16)

使用與管理

日常操作

• 寫入數據：cp sensitive.pdf ~/secret_clear/（自動加密存入 ~/secret）
• 讀取數據：cat ~/secret_clear/report.txt（自動解密）
• 卸載加密：sudo umount ~/secret_clear（數據變不可讀）

關鍵文件備份

# 密鑰簽名緩存（~/.ecryptfs/）
# 掛載參數記錄（/root/.ecryptfsrc 或自定義）
# ⚠️ 遺失密碼/簽名 = 數據永久不可恢復

自動掛載配置

PAM 整合（登錄自動掛載）

# /etc/pam.d/login 添加：
auth    optional    pam_ecryptfs.so unwrap
session optional    pam_ecryptfs.so unwrap

/etc/fstab 靜態掛載

/home/user/secret /home/user/secret_clear ecryptfs rw,noauto,user,key=passphrase:passphrase_passwd=Password,ecryptfs_cipher=aes,ecryptfs_key_bytes=16,ecryptfs_enable_filename_crypto=y 0 0

性能與安全建議

• ✅ 關鍵數據專用加密目錄，避免全盤加密性能損耗
• ✅ 密碼使用高強度隨機字符串，配合密碼管理器
• ✅ 定期驗證備份可恢復性
• ⚠️ 文件名加密導致目錄結構不可讀，便於隱私但不利備份排查
• ⚠️ swap 分區未加密時，內存交換可能洩漏明文片段

故障排查

• 掛載失敗：檢查內核模塊 modprobe ecryptfs、日誌 dmesg | grep ecryptfs
• 權限問題：確保掛載點擁有者正確、啟用 user 選項
• 性能優化：AES-NI 硬件加速可顯著提升吞吐量

eCryptFS 為 Linux 文件級加密提供了強大靈活的解決方案，合理部署可構建堅實的數據隱私防線。