加密整个硬盘驱动器或主目录有哪些缺点？

Question

我计划在我的电脑上安装Ubuntu。我研究了安装说明，发现其中一个步骤是选择是否加密Ubuntu系统。我明白加密可以增强安全性。如果没有加密的计算机被盗，窃贼可以通过使用引导磁盘来绕过Linux登录来访问数据。然而，我读到加密也有一些可能的缺点，但我所读到的并不完全清楚。我想知道是否有人能澄清这个问题。

一篇关于加密利弊的文章载于

https://www.makeuseof.com/tag/4-reasons-encrypt-linux-partitions/

正如本文所指出的，一个明显的缺点是，如果用户忘记了他或她的加密密钥，计算机上的数据将变得不可访问。我会选择一个我永远不会忘记的加密密钥。所以，这对我来说不应该是个问题。这篇文章指出，另一个缺点是加密可以减缓计算机的速度，但这对当今的机器来说并不是什么大问题。

本文还声称，如果操作系统出了问题，加密会使数据检索更加困难。我觉得这一点的解释令人费解，我想知道是否有人能详细说明这一点。

据我所知，人们可以选择加密整个硬盘驱动器，只有主目录，或只有某些部分的主目录。我对加密整个硬盘驱动器或主目录都感兴趣，我想知道这两个选项在优缺点上如何比较。

我知道只有在安装Ubuntu时才能加密整个硬盘驱动器，但是可以随时加密主目录。对吗？

因为我的所有数据都在主目录中，所以我不认为需要对整个硬盘进行加密。我是否正确地认为这样做没有好处，并且加密主目录就足以保护数据免受计算机窃贼的侵害？

如果我只加密主目录，从损坏的Ubuntu系统中检索数据会比加密整个硬盘更容易吗？如果仅对主目录进行加密，数据检索也会出现问题吗？

我怀疑只有加密的主目录的机器会比拥有完全加密硬盘的计算机运行得更快。对吗？

本文指出，如果Linux操作系统出了问题，可能需要一个恢复磁盘，如果磁盘被加密，密钥被遗忘，那么恢复就不可能了。我认为没有理由加密恢复磁盘，因为它不包含个人数据。即使恢复磁盘尚未加密，在具有加密硬盘或主目录的系统上恢复是否仍然困难？

我知道我应该定期备份我的数据。尽管如此，我还是希望数据检索尽可能容易。我也明白，电脑的加密只在有人实际偷取电脑的情况下才会保护私隐，而额外的保安措施亦是必需的。

最后，如果有任何潜在的问题，我错过了，那么我将感谢有人向我指出这些。

谢谢你的帮助。

Answer 1

除了@钒的出色回答之外，我还想补充几点。

1. 完全加密已经安装的系统是可能的。这并不是一件简单的事情，但使用cryptsetup reencrypt或对文件系统进行成像并将其还原到加密的容器中是可行的。如果中断或做错了，这两种方法都可能导致数据丢失，所以无论如何您都应该有最新的备份。如果您的设置并不复杂，那么使用加密重新安装并从备份中恢复可能会更容易。
2. 尽量使您的备份例程尽可能方便-理想的完全自动化。越不方便，就越有可能跳过备份。考虑使用专用备份工具，而不是手动复制文件。找出哪种方法对你最有效，以及你能忍受多少数据损失。(一个月？一周？一天？)
3. 如果备份无法恢复，那么备份是毫无价值的，所以请确保您的过程确实有效，并且可以接受地快速满足您的需要。在你需要它之前测试它，因为它可能已经太晚了。
4. 有些软件可能会将文件存储在主目录之外，所以在计划中要考虑这一点。特别要注意的是，Docker将使用/var/lib/docker存储图像和容器数据。
5. 加密不仅能保护您免受数据盗窃。它还保护您不被未经授权的个人(邪恶的女佣攻击)篡改系统。你可能不需要这种保护。如果你这么做了，那么：
   • 你肯定需要全磁盘加密。如果一个邪恶的女佣能够安装恶意软件，一旦你解锁它，就会窃取它，那么主目录加密是没有好处的。
   • 这样才能真正防弹，整个引导链必须受到保护。。这意味着UEFI使用安全引导启动，使用自定义密钥、签名引导加载程序、经过身份验证的内核和initramfs以及受密码保护的UEFI设置。
   • 您的备份也必须加密。如果一个人想获取你的数据，如果他们能得到未加密的副本，他们就不会费心去处理加密问题了。

再一次，这可能是对你的需求的过度杀戮。找出你的威胁模型并做出相应的计划。