在 Ubuntu 中加密敏感文件的实用方法
一 方法总览与选择建议
- 面向个人与团队协作，常用做法有：基于GnuPG的文件/文件夹加密（对称或公钥）、基于容器/分区的加密（如 VeraCrypt、LUKS）、以及目录级加密文件系统（如 gocryptfs、eCryptFS）。
- 快速选择建议：
- 临时加密并分享给他人：优先用 GnuPG 对称加密（命令或图形界面）。
- 本地长期存放且需“随用随开”：用 gocryptfs 或 VeraCrypt 容器。
- 新装系统或重装前：考虑 LUKS 全盘/分区加密。
- 已使用 Ubuntu 家目录加密：理解 eCryptFS 的自动挂载机制与限制。
二 方法一 GnuPG 加密文件或文件夹（对称或公钥）
- 安装与准备
- 安装工具：sudo apt-get install gnupg
- 图形密钥管理：安装 seahorse（Ubuntu 22.04+ 如需右键加密，再装 seahorse-nautilus）
- 对称加密（口令保护，最简便）
- 加密：gpg -c 敏感文件（生成 .gpg）
- 解密：gpg 敏感文件.gpg（自动还原原名）
- 公钥加密（适合与他人安全交换）
- 生成密钥对：gpg --full-generate-key（推荐 RSA 2048/4096，设置密码短语）
- 加密：gpg -e -r 收件人邮箱或密钥ID 文件
- 解密：gpg 文件.gpg
- 图形化操作（Nautilus）
- 在文件/文件夹上右键选择“加密”，选择密钥或设置口令；加密目录时可选择先压缩再加密。
- 适用场景：单文件/少量文件、需要口令或公钥分发的场景。
三 方法二 容器或分区级加密（适合长期本地存放与云同步）
- VeraCrypt（跨平台容器/分区/整盘）
- 安装：下载安装包后执行 sudo ./veracrypt-版本号-setup-console-x64
- 创建容器：veracrypt --create ~/encrypted.vc
- 挂载使用：veracrypt ~/encrypted.vc /mnt/veracrypt1（输入口令后即可像普通目录一样使用）
- LUKS（Linux 原生分区/磁盘加密）
- 加密分区：sudo cryptsetup luksFormat /dev/sdX
- 打开映射：sudo cryptsetup open /dev/sdX my_encrypted
- 格式化并挂载：sudo mkfs.ext4 /dev/mapper/my_encrypted；sudo mount /dev/mapper/my_encrypted /mnt
- 卸载关闭：sudo umount /mnt；sudo cryptsetup close my_encrypted
- 适用场景：需要“文件夹级”加密容器、跨平台访问或整盘/分区级强加密。
四 方法三 目录级加密文件系统（按需挂载，轻量灵活）
- gocryptfs（轻量、FUSE、适合云同步）
- 特点：仅加密指定目录，按需挂载，性能好，迁移方便；适合把敏感目录放入云盘同步。
- 基本用法：创建明文目录 ~/plain，创建密文目录 ~/cipher；
- 初始化：gocryptfs ~/cipher ~/plain（首次会生成配置与口令）
- 卸载：fusermount -u ~/plain
- eCryptFS（Ubuntu 家目录加密的默认方案）
- 安装与启用：sudo apt-get install ecryptfs-utils；运行 ecryptfs-setup-private
- 机制：登录时自动将 ~/.Private 解密挂载到 ~/Private，登出自动卸载回加密状态；适合“登录即解密、登出即上锁”的个人目录场景。
- 适用场景：希望像普通目录一样使用，但内容在磁盘上始终加密；gocryptfs 更适合云同步与多机迁移。
五 安全与运维要点
- 口令与密钥管理
- 使用高强度口令并妥善保存；GPG 私钥建议导出备份并妥善离线保存；必要时将公钥同步到密钥服务器以便他人给你加密发送文件。
- 权限最小化
- 对敏感文件/目录设置最小权限，例如：chmod 600 文件；chmod 700 目录。
- 审计与监控
- 对关键目录启用审计（如 auditd）以记录访问行为，便于事后追溯。
- 备份与恢复演练
- 定期备份加密容器/密钥与恢复流程；丢失口令通常无法恢复数据。
- 工具选择提醒
- 若对安全性要求高，避免使用存在已知漏洞的方案；例如 EncFS 曾曝出安全性问题，不建议用于高敏数据。
- 合规提示
- 加密涉及合规与数据主权要求，请在组织策略与法律法规框架内使用。
