如果您的服务器、笔记本电脑或磁盘被盗，会发生什么情况？数据还能被访问吗？如果您正确设置了完整的磁盘加密，答案是‘不能’。 在当今的威胁形势下，数据加密并非可有可无，而是基础性措施。虽然不同的用例和应用程序需要不同级别的加密，但磁盘级加密（也称为 已成为保护静态数据安全的事实标准。假设您运行 Linux 系统或任何大数据工作负载。在这种情况下，您可能听说过 甚至  。让我们来分析一下这些加密技术是什么、它们为何重要以及何时应该使用它们。 FDE - 全盘加密） LUKS（Linux 统一密钥设置）、dm-crypt（设备映射器加密）， NBDE（网络绑定磁盘加密） 加密有哪些不同类型？ 应用级数据加密 在将数据存储到磁盘或数据库之前，使用加密密钥对敏感数据进行加密是最受欢迎的安全方式。 加密密钥在单独的系统（例如密钥管理系统 (KMS)）中进行安全管理，以将密钥存储与加密数据隔离。 即使攻击者获得系统、文件系统或数据库管理员级别的访问权限，这种方法也有助于保护数据，因为数据在没有密钥的情况下仍保持加密。 应用层的额外逻辑来处理加密或解密。 适用于保护敏感数据，满足不同行业的合规性要求。   名字、姓氏、地址、电话号码、电子邮件地址、社会安全号码等。 PII（个人身份信息）——   信用卡号、CVV 码、有效期等。 PCI-DSS（支付卡行业 - 数据安全标准） -    ——医疗记录、诊断、治疗信息、实验室结果、保险详情以及 涵盖的其他患者健康信息 PHI（受保护的健康信息） HIPAA 商业秘密、知识产权、财务记录、法律文件或任何一旦泄露就可能导致违反合规规定或声誉损害的数据。 其他敏感或受监管数据： 数据库加密 对数据库系统内的 数据进行加密（例如，  ） 静态 透明数据加密（TDE） 通常自动加密整个数据库文件、表、列或表空间， 无需应用程序直接处理加密 密钥由数据库引擎或集成的 KMS 管理。 ，但不能防范特权用户（例如 DBA），因为他们如果有访问权限则可以查询解密的数据。 可以防范磁盘被盗或未经授权的文件访问等威胁 文件系统级加密 适用于文件/文件夹/卷加密。 密钥管理可以在操作系统级别、TPM/HSM、KMS 进行 防止物理盗窃/丢失 最适合端点/存储设备安全 全盘加密 (FDE) 在磁盘级别或设备映射器级别加密静态数据，并提供 ——即使攻击者获得直接磁盘访问权限，数据仍然无法读取。许多案例，包括金融行业，都受到了此类行为的影响。 防范内部威胁 - 存储非结构化数据，并且无法在应用层对加密有效负载进行操作的集群仍然可以受益于静态加密。 对于大数据系统来说至关重要 ——在某些情况下通常比复杂的分布式应用程序级加密更快。 性能和成本效率  FDE 应用程序级加密；相反，它补充或增强了静态数据的安全态势。 并不适合或取代 在接下来的章节中，我们将讨论使用 进行全盘加密，并使用 LUKS（Linux 统一密钥设置） NBDE（基于网络的磁盘加密）对其进行加强。  Linux统一密钥设置（LUKS） 全盘加密（FDE）的事实标准，使用现有的设备映射器内核系统（又名 dm-crypt） 磁盘加密密钥可以使用随机文本/库进行加密 密钥加密材料位于受操作系统级别权限保护的文件（又名 keyFile）中 KeyFile 将与受 LUKS 保护的磁盘保存在不同的磁盘上 LUKS 最多可配置 8 个操作系统级帐户访问同一磁盘，且 LUKS 提供 8 个插槽。而 LUKS2 提供 32 个插槽。 由于芯片制造商原生支持 AES-NI（AES-新指令集），LUKS 通常被视为标准的全盘加密。因此对 CPU 的影响较小。 默认密码为 AES-CBC-ESSIV:SHA256 或 AES-XTS-PLAIN64，具体取决于操作系统安装 LUKS 的默认密钥大小为 256 位，Anaconda Installer（XTS 模式）的默认密钥大小为 512 位 图：LUKS-全盘加密 LUKS 设置 以下文档展示了在 Redhat Linux 系统上设置 LUKS 的分步指南。   https://www.redhat.com/en/blog/disk-encryption-luks  LUKS 不适合什么情况？ 始终将 LUKS 视为磁盘级加密机制，并与应用程序级加密互补。但它不能替代应用程序级/数据库级或文件系统级加密。  LUKS 是一个额外的便利层，它将 dm-crypt 所需的所有设置信息存储在磁盘本身上，并抽象分区和密钥管理，以提高易用性和加密安全性。 普通的 dm-crypt 模式是早期的内核功能，它不使用便利层。因此，应用相同的加密强度会更加困难。让我们来看看 LUKS 和 dm-crypt 之间的区别。  LUKS 和 dm-crypt 之间的区别 添加行 删除行 添加列 删除列 添加行 删除行 添加列 删除列 添加行 删除行 添加列 删除列 卢克斯 dm-crypt 许可证 GPL 是的 是的 无需重新加密即可更改密码 是的 不 防御低熵密码（字典攻击）加盐和散列 是的 不 同一加密数据的多个解密密钥 是的 不 密钥恢复机制 是的 不 存储加密设置 是的 不 添加行 删除行 添加列 删除列 安全密钥文件 TPM 2.0（可信平台模块）集成 与定制密钥存储集成 不同的磁盘/挂载点或主磁盘。当然，这些都无法轻易移除。  HSM（硬件安全模块）  NBDE（网络绑定磁盘加密）。这是生产系统首选的、安全的、自动化的方式。NBDE 在 RHEL 7.4 及更高版本中可用。 网络绑定磁盘加密 (NBDE)：  NBDE 提供非对称加密技术，允许装有加密磁盘的计算机在启动时无需磁盘加密即可启动，无需在启动时输入密钥。但前提是计算机必须连接到正确的网络，并且不能以明文形式存储加密密钥，也不能将其存储在计算机之外，也不能以可被窃贼利用的方式通过网络传输数据。   通过在高层启动时自动/更轻松地管理磁盘加密/解密提供了更高的安全性，NBDE 具有以下概念。 LUKS + NBDE    - 用于自动解密的可插入框架。在 NBDE 中，Clevis 提供 LUKS 卷的自动解锁 CLEVIS  - 是 Clevis 框架的一个插件。实现与 TANG 服务器的交互 CLEVIS Pin  - 无状态、基于安全网络的数据恢复服务。TANG 并非托管服务器，服务器上不会保存任何内容。  TANG 图：网络绑定磁盘加密（NBDE） 关键点 系统利用非对称加密技术，因此只有当机器连接到正确的网络（可以访问 Tang 服务器）时才可以进行磁盘解密，而无需在本地存储解密密钥或以不安全的方式传输它们。 安全模型：  NBDE 能够在启动时自动解锁加密卷，减少人工干预并提高无人值守服务器环境中静态数据的安全性。 自动化：  Clevis 设计为一个灵活的框架，允许其他销钉（不仅仅是 Tang）用于不同的解锁场景或硬件集成。 模块化：  Tang 服务器不保留任何秘密或托管密钥，从而防止中央服务器受到攻击。 无状态： 分层工作流程 客户端（Clevis）在启动期间启动解锁。  Clevis 使用 Tang 针与 Tang 服务器通信并执行安全密钥交换。 加密操作（JOSE）管理安全的临时密钥材料。  LUKSMeta存储绑定和解锁逻辑。 交换成功后，Clevis 解密主密钥并解锁 LUKS 加密卷。  NBDE——优势 无需在系统启动/重启时手动输入密码（如果 root 也加密） 无需在 KeyFiles 中保存密码短语 TANG 服务器和 CLEVIS 框架之间不共享公钥或私钥 自动远程调用 TANG 服务器（充当解密密钥服务器） 使用非对称密钥（MR 交换算法） 随着服务器部署的不断增加，可扩展选项。 结论： 如果您的组织处理敏感数据或在受监管的行业中运营， 可为静态数据保护提供强大、自动化且安全的解决方案。 带有 LUKS + NBDE 的 FDE

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

該音頻是用故事的原始語言製作的！

静态数据安全：从 LUKS 到 NBDE - 现代加密指南

About Author

註釋

標籤

这篇文章刊登在

Related Stories

看不见的层面：为什么用户访谈是不可替代的资产

创建以用户为中心的加密产品：客户反馈的重要性

如何将您的工作流程提高 10 倍：17 个必备应用程序

点击赚钱：Telegram 可能会在 Solana 之前吸引下一个 100 亿加密用户

看不见的层面：为什么用户访谈是不可替代的资产

创建以用户为中心的加密产品：客户反馈的重要性

如何将您的工作流程提高 10 倍：17 个必备应用程序

点击赚钱：Telegram 可能会在 Solana 之前吸引下一个 100 亿加密用户

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps