Linux統一密鑰設置

LUKS的用途是加密设备文件系统。被加密的內容無需是某種格式，因此任何文件系統都可以被加密，甚至包括虛擬記憶體分區。[3]在每個已加密的磁碟的頭部，均有未加密的部分用以承載加密密鑰[註 1]以及諸如加密類型和密鑰大小等加密參數。[4][5]

磁碟頭部承載的加密密鑰是LUKS和的主要分別。LUKS允許使用多個不同的密碼解密同一個磁碟，也可以隨時輕易的修改或移除之。但是如果磁碟頭部被損壞，則不可能復原被加密的資料。[6]

加密的過程使用了多層加密：首先，資料被主密鑰加密，然後主密鑰被複製多份，分別被不同的用戶密鑰加密，最後被加密的主密鑰均被儲存到磁碟中。[7]通常，用戶密鑰是密碼片語，但其他加密方式例如OpenPGP公开密钥或者X.509數碼證書也可使用。PGP公开密钥可以與被連接到主機的OpenPGP合併使用。[8][9]這種分層加密方法被稱爲TKS1。[10][11]

LUKS有兩個版本：LUKS1以及LUKS2。LUKS1默認使用PBKDF2加密，而LUKS2默認使用Argon2；LUKS2也具備對磁碟頭部損壞的彈性。[12]在兩個LUKS版本之間切換或許可能，但某些功能（例如Argon2）未必能在LUKS1上使用。[4]LUKS2使用JSON作爲其元數據儲存格式。[4][13]

可用的加密算法取決於內核的支持。Libgcrypt支持所有LUKS支持的加密算法，可以作爲散列的後端。[14]默認加密算法由作業系統決定。[15]LUKS1使用一種名爲AFsplitter的反電腦鑑證技術，以保護文件以及確保文件能夠被徹底抹除。

LUKS的参考实现是在Linux上運行的修改版cryptsetup，並使用dm-crypt作爲加密後端。在Microsoft Windows，LUKS加密的磁盤以前可以通過LibreCrypt存取，[21]但已因安全漏洞而棄用；[22][23]現在則可以通過适用于Linux的Windows子系统使用。[24]DragonFly BSD支援LUKS。[25]

LUKS磁碟頭是向前兼容的，新版的LUKS可以讀取舊版LUKS的磁碟頭。

本章節使用LUKS的参考实现cryptsetup來示範操作。

加密裝置/dev/sda1：

# cryptsetup luksFormat /dev/sda1

解密已被LUKS加密的同一磁碟，而name是映射的設備名稱：

# cryptsetup luksOpen /dev/sda1 name

# # 使用 cryptsetup
# cryptsetup reencrypt /dev/sda1
# # 使用 cryptsetup-reencrypt
# cryptsetup-reencrypt /dev/sda1

• 磁碟加密軟件的比較

• 官方网站
• 常見問答 （页面存档备份，存于）
• LibreCrypt：在Windows上的實現 （页面存档备份，存于）
• LUKS1規格 （页面存档备份，存于）
• LUKS2規格 （页面存档备份，存于）