使用 cryptsetup 加密卷。一旦cryptsetup open ...执行，映射设备是否可供主机上的所有用户读取？如果他们知道文件系统，他们可以轻松提取所有文件的内容。
经过谷歌搜索，我不明白为什么这不被视为问题。
答案1
一般来说，设备映射器（/dev/mapper/...）创建的设备节点不是全局可读的。/dev/mapper我们看到：
lrwxrwxrwx. 1 root root 7 27. Jan 11:01 remote-backup -> ../dm-0
指向（请注意，指向的节点的权限，而不是上面的符号链接的权限是相关的）：
brw-rw----. 1 root disk 253, 0 27. Jan 11:01 ../dm-0
因此，用户需要属于该disk组或成为 root 才能访问映射设备的原始内容。不受信任的用户当然不应该拥有这些权限，否则，不仅可能读取数据，还可能破坏数据。
（以上输出是在正常配置的 Fedora 上。在不同系统上您的里程可能会有所不同）
答案2
是的，确实如此 - 当然要遵守通常的文件系统访问限制。
至于为什么这不被视为问题：
这取决于威胁模型- 即您担心的攻击和攻击者。通常，文件系统加密仅可用于防止对硬件的物理攻击（例如窃取硬件）。
如果攻击者在系统运行时拥有网络访问权限，甚至拥有系统上的帐户，文件系统加密将无济于事。但是，在这种情况下，通常的文件系统权限确实有帮助 - 这很好地展示了不同的安全措施如何相互补充。
这是众所周知的。例如，Ubuntu 的“加密文件系统指南”警告：
万能药和黑匣子
别忘了这不是一个完美的系统。它仍然容易受到各种方式的攻击，最明显的就是在线攻击。如果你能够访问你的加密数据，那么进入系统的其他人也一样。[...]