Ubuntu 在安装后会有一个非常重要的主文件夹，这个文件夹事关很多安全方面的问题。而现在计算机行业和互联网行业中，黑客人群的迅速扩大和成长，让我们连接到互联网的计算机硬盘时刻都处于不安全的状态下。所以如果能给这个主文件夹或者硬盘进行加密，那么在安全方面，就有了一道安全屏障，从而增加 Ubuntu 的安全性。下面我来和大家一起研究研究如何加密这个文件夹。

　　目前为止 Ubuntu 的几个版本在安装的时候都有选项让您选择是否加密主文件夹，不过如果由于一些原因，您没有选择或者忘记了选择加密主文件夹，那么我们也可以在安装后在来使用这个功能。

　　下面是将主文件夹从未加密设定为加密的步骤和过程，您可以从这个步骤中了解哪些文件的重要性，从而让它们更加安全。

注意事项：在开始下面的操作之前，您需要查看您的硬盘空间大小，硬盘剩余空间需要大约是您主目录现在容量大小的 2.5 倍（比如您的主目录现在是 10GB 大小，那么您需要 25GB 的剩余空间）。如果硬盘空间不足，那么这个加密过程将不能完成，会提示您“Not enough free disk space”这个错误。

另外一个需要提示您的是，在您进行下面的操作前，您最好最好最好在其他存储设备（比如移动硬盘）上复制您的主文件夹，从而以防不测。

　　好了，我们开始！

第一步：安装需求软件

　　首先，我们要安装使用的软件，从而加密主目录。打开一个终端窗口（快捷键CTRL+ALT+T）或者从程序菜单中点击终端图标。然后在终端窗口中输入如下命令：

sudo apt-get install ecryptfs-utils

　　然后，我们需要添加一个测试用户。我们可以在 "System Settings"==>"User Accounts" 中找到添加用户的功能。

　　您可能需要点击右上角的 "Unlock" 按钮然后输入管理员密码来获得管理员权限。

　　然后左下角的"+"号按钮就可以使用了。点击它，在 "Account Type" 中选择 "Administrator"（我们需要一个管理员账户），然后输入我们要建立账户的名字，如 "test" 。

　　输入名字后，点击 "Create" 按钮来创建这个用户。

　　接下来，用户创建好了以后，现在我们还没有给这个账号建立密码，而且账号默认也是 "Lock" 的，所以我们也要再次点击右上角的 "Unlock" 按钮来解锁它。在解锁以后，我们就可以点击 "Password" 右侧的 "Account disabled" 来给这个账号建立一个密码。

　　我们给它一个强壮的密码（数字+英文+特殊符号），哈。点击 "Change" 来确认密码。

　　这时，原本是 "Account disabled" 的地方已经变成了一些小星星。

　　用户已经创建完毕，我们需要重启一下 Ubuntu 。以让我们可以用我们新建立的账户来登录。

第二步：迁移文件和加密主目录

　　当我们重启 Ubuntu 到登录界面的时候，我们不要登录。这个时候，我们需要按下 Ctrl + Alt + F1 组合键，切换到文本模式，然后在这里使用我们新建好的用户名和密码登录。登录后，输入如下命令：

sudo ecryptfs-migrate-home -u USER

　　首先，它会询问您当前用户的密码，然后会询问您 USER 用户的密码。注意，命令中的 USER 是您需要加密的用户的用户名，USER 用户的密码也是您需要加密的用户的密码。

　　好了，当两次密码输入完成后，它就开始自己用作了，你会看到屏幕上滚动着相关的文本信息，根据您的主目录的容量大小，从而决定了这个过程的时间长短。

　　当命令运行结束的时候，您会看到一些信息。仔细的查看他们，因为你将来会删除主目录的一些文件和文件夹，这里详细记录了您可以删除的文件。

注意事项：在这个过程执行中和执行完毕后，您千万不要重启、注销和退出SESSION。直到您执行完下面的过程后您才可以这么做。

第三步：设置密码和完成加密过程

　　我们继续，在这个命令执行完毕的界面，我们按下 Ctrl + Alt + F7 组合键，我么会回到窗口登录界面。用我们原来的用户名和密码登录（不是新建立的那个用户）。

　　登录后，会弹出一个执行加密密码信息的窗口。点击窗口中的 "Run this action now" 按钮。

　　这时会弹出如下终端窗口：

　　在这个窗口中输入您要使用的加密密码后回车。

　　将这个密码保存在一个您可以得到却又安全的地方。

　　现在您可以重启您的 Ubuntu 了，登录后，您已经处在加密的 Ubuntu 会话中了。

　　如果一切都正常的话，您现在可以删除那些在主目录中的多余的文件和文件夹了（您可以使用 sudo rm -rf FOLDER 命令来删除那些有一些随机字母跟随的那些文件名，比如：您的主目录名.xzsdyes 之类的文件）。最后，您需要删除我们在开始的时候创建的那个用户。

　　本文中有不对的地方，请大家多多指出，我们一起共同学习共同进步。

LUKS(linux unified key setup)是一个对磁盘分区进行加密的工具，算法貌似有叫做“双鱼算法”（具体是什么，我忘了……） 命令：

1. cryptsetup luksFormat /dev/sda15(注意：是个分区)，然后就会输入两次密码，
2. 之后用cryptsetup luksOpen /dev/sda15 xxx（因为LUKS将分区映射成一个xxx，可以在/dev/mapper下看到xxx ），要输入前面的密码才能打开
3. 对LUKS分区进行格式化，mkfs.ext3 /dev/mapper/xxx后，就可以mount /dev/mapper/xxx /mnt下了
4. 反挂载就是先umount ，然后cryptsetup luksClose xxx(注意luks紧跟的参数首字母都是大写的哦！)

PS：

这个说一个开机自动挂载LUKS分区的技巧，命令：

vim /etc/crypttab  

加入4列：

xxx   /dev/sda15   /root/keyfile   luks

(映射名，分区，key文件位置，最后一列就是'luks')

cd /root
dd if=/dev/urandom of=keyfile bs=4k count=1
cryptsetup luksAddKey /dev/sda15 /root/keyfile

最后修改/etc/fstab就能开机自动挂载LUKS了……

或许有人会说，我怎么记得有个加密是"cryptsetup -y create xxx /dev/sda15"这个命令在RHEL6中被移除了，虽然这个加密十分安全，使用单向HASH算法，但是唯一的缺点就是不能改密码！！每次改密码只能tar出来然后格式化再加密再tar回去……

汗，LUKS加密也可以对文件进行加密，但是需要把文件losetup成为一个“假分区”，具体百度能搜到，但是我觉得加密一般文件用gpg或者别的加密工具比较方便，写了这么多废话……对不起……