经过大量搜索后，我惊讶地发现，Linux 社区很少或从未讨论过数据加密的特定用例，更不用说容易得到支持了。这种情况是创建一个具有强加密功能但不加密系统其他部分的用户帐户。
目前，我有一个 (Mint) Linux 系统和一个帐户。主目录和系统都没有加密，我也不想加密，因为这样做会给系统的基本使用带来不必要的麻烦。但是，我希望有一个安全区域来执行敏感操作，这不仅包括保护数据文件，还包括保护应用程序配置和日志，这些数据通常自动存储在主目录中。
我觉得有必要创建第二个用户帐户，并加密主目录。
常见的方法是使用名为 的工具ecryptfs-migrate-home，该工具随许多基于 Debian 的发行版一起提供，它根据用户的密码加密主目录，从而创建一个新的 ecrypt 文件系统实例。然后，它会配置系统，以便在用户登录时根据登录密码解密目录。不幸的是，在当前的发展状态下，这种模型似乎并不是人们可能考虑的各种情况下的最佳选择，在这些情况下，很容易看到快速输入且易于记忆的用户密码与需要抵御攻击者可用的快速且丰富的硬件能力的强密钥之间的冲突。
基于这些考虑，我希望只有在有密钥文件时才可以通过外部存储介质（例如 USB 记忆棒）访问第二个用户帐户。
我知道用户正在使用各种解决方案来加密包含敏感数据文件的目录。但是，除非整个主目录都加密，否则应用程序可能会在加密区域之外留下攻击者可以利用的线索。迫切需要一个沙盒来保证用户（没有根访问权限）无法在加密存储之外写入任何数据。
一个简单的例子是，如果用户需要保护浏览器历史记录的隐私。记住使用私人浏览会话很容易出错，这意味着书签、cookie 和历史记录不会在会话之间保留。
有人能建议一种方法来加密用户的整个目录，这样如果有包含密钥的 USB 记忆棒，访问就变得简单直接，否则就是安全的？
答案1
这本来会是一条评论，因为它并没有真正回答你的问题，但最后却有点太长了……
如果攻击者在您登录时连接到系统并“打开”了加密位（大多数情况下是在 PC 开启时...），那么它就可以“偷看”访问其中的内容。
因此，加密磁盘（部分）只能用于防止陌生人在计算机/磁盘丢失或被盗的情况下访问数据。如果是这样，那么您的 USB“加密狗”同时被盗/丢失的可能性有多大？
那么您如何加密 USB 密钥内容呢，因为这些内容可能会被快速复制到另一个密钥上...除非您还通过密码保护它们，但这样您就拥有了一个密码和一个 USB 密钥，而不仅仅是一个密码。
还要考虑加密启动盘是个好主意。否则有人可能会修改它并添加等待您解锁的软件（要么获取“密钥”，要么直接将数据复制/上传到其他地方）。
也许您想要的用例没有得到太多讨论，因为它并不像看起来那么安全，或者在相同的安全级别下有更多实用的替代方案。
附言：
迫切需要一个沙箱来保证用户（没有根访问权限）不能在加密存储之外写入任何数据。
/tmp然后，如果您想使用任何应用程序，您必须加密您的整个主目录（也许也一样）。