给猫咪照片加密
事实上，我的硬盘上不存在那种不愿意被别人看到的东西，只存有一些猫咪的照片、一些记录着想写的书的想法的文本文件，或者是一些短篇故事的文本，也有一些写了一半的 NaNoWriMo 小说文件。简单的说，我的硬盘就没有加密的必要，因为没有什么可隐藏的。可问题是，我们错误的把“隐私的渴望”跟“要隐藏某东西”两概念混淆在一起。比如说我生活的美国，我们视隐私权利是理所当然的事，但不包括那些传统所认为的“某人的隐藏色情或炸弹”。隐私考虑的是一些平常的事情。
我居住在密歇根州。这儿的冬天很冷，我趋向于把温度设置在华氏 75 度左右。对您们来说这个温度可能高了，但在我的家里刚好合适。多亏我的家是属于私有的，我的邻居不可能知道我们保持了这么高的温度，否则一但他们看到冬天如此“浪费”能源的家庭，这些邻居心里会很不平衡的。事实上，本地条规中有一条明确指出任何超过华氏 60 度的就算是生态浪费。我并不想与这种僵老的条例较真，所以我仅仅想保守我们舒适的房子的秘密。我们并不想隐藏任何事情，但也并不是任何事情都要让外人知道。
很明显，我举的例子有点弱智，但我希望的是这能引起大家的思考。现代的 Linux 系统很容易的就可以对我们的数据进行加密，并且很可靠，所以为什么不好好利用利用呢？
加密原理?
我不会涉及太多关于加密原理的细节，但要明白最基本的原理，即使是最简单的实现，这是必须的。要加密和解密一个文件，需要两把“钥匙”。一把是私钥，正如名字所示，属于私有的。我宁愿把私钥看作是真实的钥匙——你想要多少就可造出多少，但这样做是不明智的。同样的，私钥你造的越多，某些不怀好意的人得到其中一把的机率就越大，他们就会闯入你的公寓（额，我的意思是指那些文件）。
公钥更像是锁的样子，只有你能（用你的私钥）打开此锁。这公钥任何人都可以得到，你可以将它张贴在网站上、把它放在你的 E-mail 中、甚至纹在你的背上。其它人想创建一个只有你能访问的文件，就可以使用此公钥来加密。
这种一对多（LCTT译注：指别人可以加密多个文件，而只有你的一个私钥才能解密）的情况也有个很酷的副作用。如果你用你的私钥来加密一些东西，任何人都可以用你提供的公钥来解密它们。这听起来很傻，但这种情景很有用。虽然加密的文件不能免于被窥视，但是它能保证此文件确实来自于你而没有被恶意改动过。用你的公钥能解密的文件仅仅只能是用你私钥加密过的。用这种方式，用私钥加密的文件即是数字“签名”文件。（LCTT译注：既然是任何人都可以用公钥解密，其实加密没有意义，相反，仅仅用你的私钥做一个签名指纹，别人只需要用你的公钥来验证该签名是否一致即可判断是否来自你。）
（LCTT译注：其实本文此处所述的加密解密、签名校验等原理不完全正确，和实际的非对称加密情形有所差异，不过比较容易理解和类比。）
通用加密步骤:
- 你有一个文件想要发送给苏茜 ，所以你得使用苏茜的公钥来加密，这样就只有 苏茜才能打开这个文件，但苏茜没有办法知道是谁给她发送的文件。因为任何一个人都可以用她的公钥来加密文件。
- 因此，你得把你的文件用苏茜的公钥和你的私钥都加密。苏茜将不得不解密两次，但她知道它是来自于你的文件。（LCTT译注：实际上应该是用你的私钥要做签名，生成一小段签名指纹，而不是对已经加密的文件再次加密。）
- 苏茜接收到此文件后会用能证明来自于你的公钥来解密第一层。（LCTT译注：校验签名，确认来自你的私钥的签名正确。）
- 然后用她的私钥来解密第二层的密码，这是唯一的能够将原始文件进行解密的钥匙了（因为你是用她的公钥来加密的）。
当然，这情景就是用来安全传输文件的加密手段。这也是加密你的文件（或者分区）相当常用及简单的方法。就让我们开始来对文件进行加密吧，因为大多数人都想加密他们的系统。
始于简
在深入更复杂的各种加密设置操作前，我们先做简单的对文件加密例子。能处理加密的应用程序有很多很多，事实上，对文件和系统进行加密的各种可用软件选择，很容易就会让我们变得焦头烂额。现在，我们就使用一款很基本的（但非常强大）命令行工具来对文件加密。 GPG （英文名：Gnu Privacy Guard）是一款对商业软件 PGP（英文名：Pretty Good Protection）的开源实现软件。它具有加密、签名及管理多个密钥等功能。用例子说明，让我们简单的加密一个文件吧。
我们假设你有一个名叫 secret_manifesto.txt 的文件，它包含有关于生命、宇宙及一切事物的秘密。使用 GPG，你只需要一个密码就可以加密此文件。使用密码远比使用公钥和私钥对简单，因为它只是用你的密码加密。虽然这比较容易让你的文件遭受到破解（比如使用彩虹表或其他黑客工具暴力破解），但像它的名字中所宣称的：这是相当不错的保护。要加密你的文件，可以这样做：
- # gpg -c secret_manifesto.txt
- Enter passphrase:
- Repeat passphrase:
一但完成，在相同的目录下就会多出个新的文件，它默认的名字是 secret_manifesto.txt.gpg 。这是一个二进制文件，这意味着它真的比较小，但是要将其内容拷贝/粘贴到电子邮件（e-mail）或 即时消息（IM） 就不可能了（LCTT译注：当然你可以使用附件方式。）。要使其便于拷贝等操作，可以添加 -a 标志，这将创建一个只包含 ASCII 码文本的加密文件：
- # gpg -a -c secret_manifesto.txt
- Enter passphrase:
- Repeat passphrase:
- # ls -l
- -rw-rw-r-- 1 spowers spowers 6 Nov 23 1:26 secret_manifesto.txt
- -rw-rw-r-- 1 spowers spowers 174 Nov 23 1:27 secret_manifesto.txt.asc
- -rw-rw-r-- 1 spowers spowers 55 Nov 23 1:26 secret_manifesto.txt.gpg
注意到现在多了一个以 .asc 为扩展名的文件。它是个纯文本文件，从上面的代码段示例可以看到它比二进制的加密文件还大，当然比原文本文件就大的更多了。一但你把文件加密了，也确实想要对些信息保密，最明智的就是把原文本文件删除掉。（LCTT译注：千万记住密码啊，否则谁也帮不了你了——你得自己破解自己的密码啦:>）
要解密文件，你需要再一次使用 GPG 程序。不管是二进制的还是 ASCII 文件，使用相同的命令就可以解密。如下所示：
- # gpg secret_manifesto.txt.asc
- gpg: CAST5 encrypted data
- Enter passphrase:
- gpg: encrypted with 1 passphrase
- File `secret_manifesto.txt' exists. Overwrite? (y/N)
注意到上面的例子中，我没有删除源文本文件，所以 GPG 给出了是否覆盖选项提示。一但操作完成，我的未加密的源文件又回来了。如果你仅仅只有一两个文件要保护，那基于命令行的 GPG 程序正是你所需的。但如果你想实现在系统上指定一个区域，任何保存到这区域的的文件都会自动加密的话，就有点复杂了。可这也并不是非常的困难，让我们用一个非常简单的示范例子来讲解吧。
加密 USB 驱动盘
如我前面提到的，要加密有很多可选的方式方法。加密磁盘分区最通用的一种方法是 LUKS（Linux Unified Key Setup） 系统。一个使用 LUKS 格式化分区的 USB 驱动盘可以被大多数系统自动识别到。实际上，如果你使用的是像 Ubuntu 桌面这样的桌面环境系统的话，加密 USB 驱动盘其实就是在格式化过程中简单的勾选上一个复选框而已。虽然这是加密 USB 盘最容易让人接受的方式，但我还是想演示如何在命令行下进行加密，因为这种方式可以让你明白在加密的后面具体发生了什么。
步骤 1: 识别您的 USB 驱动盘。
在您插入 USB 驱动盘后，如果在终端输入 dmesg 命令，将会显示出所有的系统信息，包括刚插入的 USB 驱动盘的设备名字。 确保设备标识是正确的，因为后面要进行的操作会破坏驱动盘上的所有数据。您也不想一不小心就格式化掉正常的磁盘吧。（虽然不用提醒，但我还是要说，确保您的 USB 驱动盘已经没有你想保留的数据，因为这是一个破坏性的过程。）
步骤 2: 对 USB 驱动盘进行分区。
假设，在您的系统上 USB 驱动盘是 /dev/sdb 这个设备，您需要在这个驱动上创建一个单分区（LCTT译注：设备是sdb，其上可以有多个分区，分别叫sdb1、sdb2等等）。我们使用 fdisk 命令。下面是 fdisk 必须的交互操作。一般地，用 o 命令来创建一个新的空分区，然后用 w 命令来保存设置。然后重新运行 fdisk 命令，并用 n 命令来创建一个新的主分区，接下来保持默认的以使用整个设备空间：
- # sudo fdisk /dev/sdb
- Command (m for help): o
- Building a new DOS disklabel with disk identifier 0x1234567.
- Changes will remain in memory only, until you decide to write them.
- After that, of course, the previous content won't be recoverable.
- Command (m for help): w
- The partition table has been altered!
- # sudo fdisk /dev/sdb
- Command (m for help): n
- Command action
- e extended
- p primary partition (1-4)
- p
- Partition number (1-4, default 1): 1
- Using default value 1
- First sector (2048-1016522, default 2048):
- Using default value 2048
- Last sector, +sectors or +size{K,M,G} (2048-1016522, default 1016522):
- Using default value 1016522
- Command (m for help): w
- The partition table has been altered!
现在你的 USB 驱动盘有了一个单分区了（/dev/sdb1），但还没有文件系统，这正是我们所想要的，因为 LUKS 系统需要在创建文件系统前在您的分区上创建一个加密层。因此，在创建文件系统之前，就让我们在分区上先创建一个 LUKS 层吧，可以使用 cryptsetup 程序。如果您还没有安装 cryptsetup 的话，可以搜索您系统发布版本的仓库源，里面就有。下面就开始创建 LUKS 加密分区层:
- # cryptsetup luksFormat /dev/sdb1
- WARNING!
- ========
- This will overwrite data on /dev/sdb1 irrevocably.
- Are you sure? (Type uppercase yes): YES
- Enter LUKS passphrase:
- Verify passphrase:
按照提示的操作，一定要确保记得您的密码！注意，这儿的“密码单词”不仅仅只表示一个单词。这只是一个习惯，因而得名，设置的越长越复杂，越难被破解。
一但上面的操作完成，就创建好了一个加密的分区，但它还没有被挂载或格式化。要做的第一步就是挂载分区，可以再一次使用 cryptsetup 工具：
- # cryptsetup luksOpen /dev/sdb1 my_crypto_disk
- Enter passphrase for /dev/sdb1:
当输入完密码后，您输入名字的设备就会像虚拟硬盘一样被挂载上。通常，它挂载在 /dev/mapper/设备名 的目录下，所以这个例子所示的分区就挂载到了 /dev/mapper/mycryptodisk 目录。
现在这个设备就可当做未加密的卷来访问了。 只要它一被挂载，就跟其它未加密的卷是一样的了，这就意味着您想要使用它的话就需要先建立文件系统：
- # mkfs.vfat /dev/mapper/my_crypto_disk -n my_crypto_disk
- mkfs.vfat 3.0.9 (31 Jan 2010)
现在磁盘的功能完备了，可以像其它磁盘一样正常挂载使用了。实际上，如果你使用的是现代的图形用户界面系统的话，只要你把 USB 驱动盘一插入计算机，将会提示您输入密码，然后就自动挂载上了。退出的时候跟普通盘一样，里面存储的数据会被加密，直到下次输入密码。在命令行里使用 cryptsetup 卸载以及重加密驱动盘也是很简单的：
- # cryptsetup luksClose my_crypto_disk
这仅仅只是冰山一角
写这篇文章，我的目的是希望剥开加密后面的秘密。加密和解密单个文件很简单，要加密整个 USB 驱动盘也不是太困难（如果使用的是图形用户界面工具就更容易了）。对于大多数系统的发布版本来说，在安装过程中就可以对整个 home 目录进行加密。加密是对您的整个 home 目录起作用，然而有些问题就需要特别处理了。例如，您没登陆时就运行的任务在大多数情况下是不会访问您的 home 目录的，但如果您有调度任务需要访问 home 目录的话，应该进行修改，让其访问系统中其它目录的数据。我觉得在安全和便利之中平衡的中庸之道还是加密 USB 驱动盘，然后在上面存储个人资料。
我必须警告您，一但您考虑到安全的问题，就会想要把任何东西都加密起来。这不是什么坏的事情，但是像要对 home 目录加密这种情况，是会碰到一些问题的。如果您使用不同系统的话，跨平台访问也是个大问题。像这种情况，我强烈建议您使用 TrueCrypt。在前期的文章片段里我提到过 TrueCrypt，它是一款开源的，跨平台的加密系统软件。可以对文件、文件夹、分区等等进行加密，同时可以在任何系统中访问加密的数据。像 Windows、Mac 及 Linux 客户端都可以使用。社区也有大力的支持。（LCTT译注：悲惨的是，棱镜门事件之后，TrueCrypt的作者已经放弃了该产品，并且强烈建议大家也不要使用，具体可以参考本站的一些相关消息。所以痛失TrueCrypt之后，我们还有哪些替代品？）
希望对文件进行加密的目的并不是为了隐藏某些东西。就像即使您有个好邻居，最好夜里也得锁门一样，对您的个人数据进行加密也是个很正常的举动。如果您想在网上与大家分享你的 Whiskerton 先生戴着可爱的小豆豆帽子的照片的话，这是您的权利。但其它的人，比如他们索检你硬盘的时候，就不需要让他们看到了。
原文发布时间：2014-07-04
本文来自云栖合作伙伴“linux中国”