这是一个让我困惑了一段时间的加密主题。根据我对 LUKS 的理解，一旦使用密码打开 LUKS 卷并安装生成的设备映射器设备，就可以读取和写入它，直到它被关闭/卸载，而数据的实际磁盘格式是加密形式。
假设在打开并安装 LUKS 卷时发生服务器入侵，root 帐户的密码被泄露并通过 SSH 被破解。攻击者现在将拥有对该设备的完全读/写访问权限。
将其与基于文件的加密系统（例如 eCryptfs）进行比较。如果 root 帐户被攻破，并且我的敏感数据存储在 /home/secure 中（使用 eCryptfs 加密），攻击者将无法访问这些数据，因为 /home/secure 目录不像 LUKS 那样，只需使用密码即可“解锁”。
我是不是完全误解了什么？我觉得我已经从大量有关 LUKS 的信息中进行了研究，但我没有找到任何关于安装 LUKS 卷时入侵影响的讨论。感谢您提供的任何见解或澄清！
答案1
DM-Crypt、Bitlocker、Truecrypt 等全盘加密系统主要侧重于防范离线物理攻击。它们使用强密钥/短语来保护您的驱动器/计算机在被物理窃取后不被解密。它们对操作系统的攻击提供很少或根本没有保护。如果您的操作系统正在运行，并且特权帐户受到攻击，攻击者基本上可以完全访问特权帐户可以访问的任何信息。
按需文件加密工具（如 eCryptfs）将提供一些额外的保护，但即使这样也并非万无一失。如果攻击者入侵了您的系统，并且您提供了密码来解密文件，他们可能会获得您的密码。如果您的文件已打开且未加密，他们将/可能能够访问它们。
因此，您基本上需要了解加密只是强大安全性的单层。它不是完整的解决方案。您还必须加强操作系统并保护其免受入侵。您应该采取措施，尽量在最短的时间内解密任何真正重要的数据。安全性必须分层实施。
答案2
您可能对 eCryptFS 的工作原理感到困惑：包含加密文件的目录被安装到另一个目录中 - 对于此过程，您需要一个密码。然后您可以在第二个目录中以明文形式访问文件。
LUKS 适用于块设备，而 eCryptFS 适用于文件，但两者都需要挂载，并且您需要密码（或密码文件）。因此，在您的威胁模型中，LUKS/dm-crypt 和 eCryptFS 之间的安全性没有区别。