系统常识 LUKS磁盘加密安装安全
LUKS 磁盘加密是什么？装 Linux 时怎么选
LUKS 是 Linux 内核的磁盘加密层：原理、整盘加密与单分区加密的区别、性能影响与风险，Ubuntu 与 Debian 安装器里怎么勾、忘了口令的预案。
发布于 2026/11/11
所属频道 Ubuntu 与 Debian
结论先行
LUKS 是 Linux 内核的磁盘加密层（Linux Unified Key Setup），开机/挂盘时用口令解密密钥，之后内核透明加解密整个分区；Ubuntu 桌面与 Debian 安装器都支持整盘或分区级加密，装完每次启动要多一步输口令。
原理速记
- 磁盘上存的是加密数据 + LUKS 头部（存加密的密钥与口令校验）。
- 口令只用于解密头部里的密钥，之后全程内核内存内完成，磁盘落盘的都是密文。
- 强度取决于口令质量：短口令是最大风险点。
安装器里怎么选
- Ubuntu（Ubuntu 26.04 桌面条目）：图形安装器提供「加密新 Ubuntu 安装」选项。
- Debian（Debian 索引）：安装器分区步骤勾 LUKS 整盘加密，口令只在安装时设一次。
性能与取舍
| 维度 | 影响 |
|---|---|
| SSD/机械盘速度 | 加密开销在现代 CPU 上很小，通常感觉不到 |
| 每次开机 | 多一步输口令 |
| 数据拷贝 | 拷贝前要先整体解密，速度略降 |
| 风险 | 口令丢失 = 数据无法恢复（设计上如此） |
LUKS 只防「硬盘被拿走」，不防系统运行中被内存取证；口令务必单独记录，装完当场写下来。
常见误操作
- 口令只写一次没备份，日后换机/重装全靠猜。
- 加密 swap 与否要按合规要求选，别凭感觉。