使用 cryptsetup 對磁碟區進行加密。一旦cryptsetup open ...執行完畢，已映射的裝置不是可以被主機上的所有使用者讀取嗎？如果他們知道檔案系統，他們就可以輕鬆提取所有文件的內容。
谷歌搜尋後，我不明白為什麼這不被認為是一個問題。
答案1
一般來說，由設備映射器（/dev/mapper/...）創建的設備節點不是世界可讀的。在/dev/mapper我們看到：
lrwxrwxrwx. 1 root root 7 27. Jan 11:01 remote-backup -> ../dm-0
指向（請注意，相關的是指向的節點的權限，而不是上面符號連結的權限）：
brw-rw----. 1 root disk 253, 0 27. Jan 11:01 ../dm-0
因此，使用者要么需要在disk群組中，要么需要成為 root 才能存取映射設備的原始內容。不受信任的使用者當然不應該擁有這些權限，否則不僅可能讀取數據，而且可能會破壞數據。
（以上輸出是在正常配置的 Fedora 上進行的。不同系統上的結果可能會有所不同）
答案2
是的，確實如此——當然要遵守通常的檔案系統存取限制。
至於為什麼這不被視為一個問題：
這取決於威脅模型- 也就是說，關於您擔心的攻擊和攻擊者。一般來說，檔案系統的加密僅在防止針對硬體的實體攻擊（例如竊取硬體）方面有用。
如果攻擊者在系統運行時具有網路存取權限，甚至是系統上的帳戶，則檔案系統加密將無濟於事。然而，在這種情況下，通常的檔案系統權限確實有幫助——這很好地展示了不同的安全措施如何相互補充。
這是眾所周知的。例如Ubuntu的《加密檔案系統Howto》警告:
萬能藥和黑盒子
不要忘記這不是一個完美的系統。它仍然容易受到各種方式的攻擊，最明顯的是在線攻擊。如果您能夠存取您的加密數據，那麼進入系統的其他人也將能夠存取。 [...]