这是我一直困惑的一个encryption题目。 从我所了解的LUKS中，一旦用密码打开LUKS卷并装入最终的设备映射器设备，就可以读取和写入LUKS卷，直到它closures/卸载，而实际的磁盘格式的数据是encryption的forms。
假设在LUKS卷打开和挂载时发生服务器闯入，因此根帐户的密码已被妥协并被SSH分解。 攻击者现在将拥有对设备的完全读/写访问权限。
将其与基于文件的encryption系统比较，如eCryptfs。 如果发生root帐户的攻击，而且我的敏感数据存储在/ home / secure中（使用eCryptfs进行encryption），攻击者将无法访问它，因为/ home / secure目录不是简单的像LUKS一样用密码“解锁”。
我在这里完全误解了一些东西吗？ 我觉得我已经从LUKS的大量信息中完成了我的研究，但是我还没有发现任何有关在LUKS卷装入时的入侵的影响的讨论。 感谢您给出的任何见解或澄清！
像DM-Crypt，Bitlocker，Truecrypt这样的全盘encryption系统主要针对离线物理攻击的安全性。 有了强大的密钥/短语，它们可以防止您的驱动器/计算机在被盗窃之后被解密。 它们几乎不提供任何防御操作系统的保护。 如果您的操作系统正在运行，并且特权帐户受到攻击，则攻击者基本上可以完全访问特权帐户可以访问的任何信息。
按需基于文件的encryption工具，如eCryptfs将提供一些额外的保护，但即使这不是万无一失的。 如果攻击者已经破坏了你的系统，并且你提供了你的密码来解密你的文件，他们可能会得到你的密码。 如果你的文件已经打开了一个未encryption的文件，他们将/可能能够访问它们。
所以你基本上需要明白，encryption是一个强大的安全单层。 这不是一个完整的解决scheme。 您还必须加强和保护操作系统免受入侵。 您应该采取措施，尝试尽可能less的时间解密任何真正重要的数据。 安全必须分层进行。
您可能会对eCryptFS的工作方式感到困惑：包含encryption文件的目录会被挂载到另一个目录中 – 对于这个过程，您需要一个密码短语。 然后在第二个目录中，您可以以明文forms访问这些文件。
LUKS在块设备上运行，eCryptFS在文件上运行，但都是挂载的，你需要一个密码（或者passfile）。 因此，在您的威胁模型中，LUKS / dm-crypt和eCryptFS之间的安全性没有区别。