为啥要加密？

简单说：文件加密可以防范失窃，保护隐私or备份数据，和提防某些人……

复杂点的话…… 看看这个咯~

为啥是 dm-crypt?

因为是 Linux 内核内置哒~ （好没有说服力的借口呐）

加密开始前的准备工作

• 准备一个外部硬盘（放加密过程中备份的系统啦）

• 一个 Live USB （因为中间要格掉原来的系统……）

• 然后备份一下系统。

  btrfs 的话可以用发送快照的方式呗~

  • 首先创建一个只读快照：

    # btrfs subvolume snapshot -r <源位置> <目标位置>

    例如 btrfs subvolume snapshot -r / /root_backup 就会在 /root_backup 新建一个 / 的快照~

  • 然后发送出去：

    # btrfs send <快照名称> | btrfs receive <目标位置>

    例如咱把一个硬盘挂载到了 /mnt 的话：

    # btrfs send /root_backup | btrfs receive /mnt/

  不是 btrfs 的话就自行发挥想象力咯~ （比如 和咱以前一样用 rsync ~ ）

创建加密分区

如果汝一开始不是安装了整个 core 组的话，先把 cryptsetup 装上咯~ _(:з」∠)_

然后创建加密分区：

# cryptsetup luksFormat <设备文件的名称>

如果需要的话，可以在 luksFormat 之前加上一些选项呐：

参数的名称	这啥？	推荐是多少？	一些废话
--cipher	加密方式	aes-xts-plain64	AES 加密算法搭配 XTS 模式
--key-size	密钥长度	512	XTS 模式需要两对密钥， 每个的长度是256
--hash	散列算法	sha512
--iter-time	迭代时间	>10000	单位是毫秒。该值越大，暴力破解越难； 但是相应的汝打开加密分区时就要等一下啦~

例如这样？

# cryptsetup --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time 10000 luksFormat /dev/nvme0n1p1

WARNING!
========
这将覆盖 /dev/nvme0n1p1 上的数据，该动作不可取消。

Are you sure? (Type uppercase yes):
# 上面要打大写的 YES
# 然后输入两遍加密分区的密码。
输入密码：
确认密码：

然后等一下就好咯~

打开加密分区

# cryptsetup open <已经加密的设备文件名称> <映射名称>

解密的分区会映射到 /dev/mapper/<汝设置的映射名称> 呗~

例如咱解密 /dev/nvme0n1p1 ，然后映射到 /dev/mapper/sysroot :

# cryptsetup open /dev/nvme0n1p1 sysroot

接下来就像操作普通分区一样操作 /dev/mapper/sysroot 就好啦~

然后把刚刚备份好的系统再搬回来 _(:з」∠)_

如果汝也是用 btrfs send receive 搬回来的，别忘了让快照可写:

# btrfs property set -ts <快照的位置> ro false

重新设置一下系统 ~

相比与原来的系统，现在的变化就是分区和启动方式改变了呐~

下面咱就假设它在 /mnt 啦 ~

收尾工作

卸载然后关闭加密分区：

# umount -R <某个挂载点>

# cryptsetup close <映射名称>

如果需要的话，擦除一下刚刚用的备份分区 ( ⚆ _ ⚆ )

然后重新启动就好啦~