在 LVM 上使用 LUKS 时，LVM 缓存是否存在安全漏洞？

Question

我在一个带有 LVM 的卷组中有两个硬盘。该卷组中的所有卷都包含 LUKS 容器。如果我将 SSD 作为 LVM 缓存添加到该卷组，缓存设备上的所有数据是否都会加密？

确认缓存内容的工具可以获得奖励积分。

Answer 1

由于您正在缓存 LUKS 容器，因此您的缓存也已加密，是的。

我正在使用一种不同的设置，其中我的 pv（实际的 pv 和用作缓存的 pv）位于 luks 之上。

未加密且无缓存的 LVM：

[Disk 1  ]
[PV Data ]
[VG      ]
[LV      ]
[Filesyst]

使用 LVM 缓存未加密：

[Disk 1  ] [Disk 2   ]
[PV Data ] [PV Cache ]
[VG                  ]
[LV      ]-----------]
[Filesyst]

你的：

[Disk 1  ] [Disk 2   ]
[PV Data ] [PV Cache ]
[VG                  ]
[LV      ]-----------]
[LUKS    ]
[Filesyst]

矿：

[Disk 1  ] [Disk 2   ]
[LUKS    ] [LUKS     ]
[PV Data ] [PV Cache ]
[VG                  ]
[LV      ]-----------]
[Filesyst]

两种变体都加密得很好，我找不到任何将 LVM 放在 LUKS 之上的建议，或者相反，所以我使用了 Fedora 默认值，它将 LVM 安装在 LUKS 之上。 （如果我没记错的话，Debian 默认有其他版本）

缺陷，加密数据，未加密缓存：

[Disk 1  ] [Disk 2   ]
[LUKS    ] ⎡ unenc   ⎤
[PV Data ] ⎣PV Cache ⎦
[VG                  ]
[LV      ]-----------]
[Filesyst]

并不是真正的奖励点：您可以尝试在缓存设备上运行 photorec。但这只能证明如果您能找到某些内容，则缓存有缺陷，而不能证明缓存已加密（如果您找不到）。这使得事情变得更加困难，因为 LVM 缓存不需要保存有序/“碎片整理”的数据。

Answer 2

如果我将 SSD 作为 LVM 缓存添加到该卷组，缓存设备上的所有数据是否都会加密？

是的，它是加密的，因为 LVM 缓存直接与块一起工作。它不知道底层数据是什么。

确认缓存内容的工具可以获得奖励积分。

启动任何十六进制编辑器（hexedit、dhex 等）并直接打开逻辑卷。加密数据应该看起来像噪音。