文章内容

企业安全分享：Linux文件系统安全攻略(5)

发布时间: 2012/5/28 7:24:18

为了确认逻辑卷是否已经建立，可以使用下列命令进行检查一下：

只要该命令列出了逻辑卷，就说明已经成功建立了逻辑卷。不过根据机器的不同，设备号可能有所不同，如图10所示：

▲图10.显示成功建立的逻辑卷

device-mapper会把它的虚拟设备装载到/dev/mapper下面，所以，你的虚拟块设备应该是/dev/mapper/ly_EFS，尽管用起来它和其它块设备没什么不同，实际上它却是经过透明加密的。

如同物理设备一样，用户也可以在虚拟设备上创建文件系统：

现在为新的虚拟块设备建立一个装载点，然后将其装载。命令如下所示：

用户能够利用下面的命令查看其装载后的情况，如图11所示：

▲图11.EFS成功装载后的显示

通过上述的步骤后，用户看到装载的文件系统，尽管看起来与其它文件系统无异，但实际上写到/mnt/ly_EFS/下的所有数据，在数据写入之前都是经过透明的加密处理后才写入磁盘的，因此，从该处读取的数据都是些密文。

5、卸载加密设备

要卸载加密文件系统，和平常的方法没什么两样：

即便已经卸载了块设备，在dm-crypt中仍然视为一个虚拟设备。如若不信，用户可以再次运行如图10所示的命令dmsetupls来验证一下，将会看到该设备依然会被列出。因为dm-crypt缓存了口令，所以机器上的其它用户不需要知道口令就能重新装载该设备。为了避免这种情况发生，用户必须在卸载设备后从dm-crypt中显式的删除该设备。命令具体如下所示：

此后，它将彻底清除，要想再次装载的话，用户必须再次输入口令。

6、重新装载加密设备

在卸载加密设备后，用户很可能还需作为普通用户来装载它们。为了简化该工作，需要在/etc/fstab文件中添加下列内容：

此外，用户也可以通过建立脚本来替我们完成dm-crypt设备的创建和卷的装载工作，方法是用实际设备的名称或文件路径来替换/dev/DEVICENAME：

如果用户使用的是回送设备的话，用户还可以利用脚本来捆绑设备，脚本如下所示：

7、在Linux系统安装时使用EFS

上面介绍了使用dm-crypt来创建加密文件系统的方法，对于初级用户来说，可能这个过程有些繁杂和不好理解。那么，本节将介绍一个非常简单的方法来使用EFS文件系统。以Fedora10的安装步骤为例子，选择相关选项进行安装就可以方便地进行使用了。

用户可以在空闲空间新建分区，也可以选择某个分区进行编辑，还可以删除某些分区。在图12中，需要选中[加密文件系统]选项，并且，根据系统要求，输入访问EFS所需要的密码，如图13所示。然后，根据第3章的介绍接下来一步一步按照系统的提示进行系统安装即可。那么，在成功安装系统后，用户就拥有了一个安全的加密文件系统，并且，在每次登录系统的时候，系统都会要求用户输入在图13所示步骤中设定的密码来进行安全访问。