13 对分区和文件进行加密 #
加密文件、分区和整个磁盘可以防止有人未经授权访问您的数据，并保护您的机密文件和文档。
您可以选择的加密方案如下：
- 加密硬盘分区
可在安装期间或在已安装的系统中使用 YaST 创建加密分区。有关更多信息，请参见第 13.1.1 节 “在安装过程中创建加密分区”和第 13.1.2 节 “在运行的系统上创建加密分区”。此选项还可用于可移动媒体（如外部硬盘），如第 13.1.3 节 “加密可移动媒体的内容”中所述。
- 使用 GPG 加密单个文件
要快速加密一个或多个文件，可以使用 GPG 工具。有关更多信息，请参见第 13.2 节 “使用 GPG 加密文件”。
本章中所述的加密方法无法防范运行中系统的安全性受到损害。成功装入加密卷后，具有适当权限的任何人都可以访问它。不过，加密媒体在计算机丢失或被窃的情况下会很有用，它还可以防止未经授权的人员读取您的机密数据。
13.1 使用 YaST 设置加密文件系统 #
使用 YaST 在安装期间或已安装的系统中加密分区或部分文件系统。不过，在已安装的系统中加密分区更加困难，因为这需要重新调整分区大小并更改现有分区。在此情况下，创建一个指定大小的加密文件来储存其他文件或文件系统的某些部分可能更加方便。要加密整个分区，需要在分区布局中提供一个专用于加密的分区。默认情况下，YaST 的标准分区建议并不包括加密分区。请在分区对话框中手动添加加密分区。
13.1.1 在安装过程中创建加密分区 #
确保牢记加密分区的密码。没有这个口令将无法访问或恢复加密数据。
用于进行分区的 YaST 专家对话框提供了创建加密分区所需的选项。要创建新的加密分区，请执行以下操作：
单击 › 运行 YaST 专家分区程序。
选择一个硬盘，单击，然后选择主分区或扩展分区。
选择分区大小或者要在磁盘上使用的区域。
选择文件系统以及此分区的安装点。
选中复选框。
注意：需要其他软件选中后，可能会出现一个弹出窗口，要求您安装其他软件。请确认安装全部所需的软件包，以确保加密分区正常工作。
如果仅在必要的情况下才需要装入加密文件系统，请在 中启用，否则请启用并输入安装点。
单击，并输入用于加密此分区的口令。不会显示该密码。为防止键入错误，您需要输入口令两次。
单击以完成该过程。新加密的分区现在即创建成功。
在引导过程中，操作系统会在装入 /etc/fstab 中设置为自动装入的任何加密分区之前要求您输入口令。此类分区在装入后可供所有用户使用。
要在启动期间跳过装入加密分区的步骤，请在提示输入口令时按 Enter。然后，再次拒绝输入口令的提示。在此情况下，不装入加密文件系统，并且操作系统继续引导并阻止对您的数据的访问。
要想装入引导期间未装入的加密分区，请打开文件管理器，然后在列出文件系统上公用位置的窗格中单击该分区项。系统会提示您输入口令，然后将装入该分区。
在已存在分区的计算机上安装系统时，您还可以决定是否在安装期间加密现有分区。在此情况下，请遵循第 13.1.2 节 “在运行的系统上创建加密分区”中的说明并注意此操作将会损坏现有分区中的所有数据。
13.1.2 在运行的系统上创建加密分区 #
还可以在正在运行的系统上创建加密分区。但是，加密现有分区会损坏分区中的所有数据，并需要重新调整现有分区的大小及结构。
在运行中的系统上，于 YaST 控制中心选择 › 。单击继续。在 中选择要加密的分区，并单击。其余过程与第 13.1.1 节 “在安装过程中创建加密分区”中描述的过程相同。
13.1.3 加密可移动媒体的内容 #
YaST 将可移动媒体（例如外部硬盘或闪存盘）当作任何其他储存设备一样处理。您可按上述方法加密外部媒体上的虚拟磁盘或分区，但应禁止引导时装入，因为通常系统仅在已启动并运行时才会连接可移动媒体。
如果您已使用 YaST 对可移动设备进行加密，GNOME 桌面会自动识别加密分区并在检测到该设备时提示输入口令。如果您在运行 GNOME 时插入 FAT 格式的可移动设备，输入口令的桌面用户将自动成为该设备的拥有者。对于文件系统不是 FAT 的设备，请显式更改非 root 用户的所有权，以授予其对设备的读写访问权限。
13.2 使用 GPG 加密文件 #
可以使用 GPG 加密软件来加密单个文件和文档。
要使用 GPG 加密文件，首先需生成一个密钥对。为此，请运行 gpg --gen-key 并遵循屏幕上的指导操作。生成密钥对时，GPG 将会基于您的真实姓名、注释和电子邮件地址创建一个用户 ID (UID)，以用于标识密钥。指定用于加密文件的密钥时需要用到此 UID（或只是它的一部分，例如您的名字或电子邮件地址）。要查找现有密钥的 UID，请使用 gpg --list-keys 命令。要加密文件，请使用以下命令：
tux > gpg -e -r UID
FILE请将 UID 替换为 UID 的一部分（例如，您的名字），并将 FILE 替换为要加密的文件。例如：
tux > gpg -e -r Tux secret.txt
此命令会创建可通过 .gpg 文件扩展名识别的指定文件（在本示例中为 secret.txt.gpg）的加密版本。
要解密加密文件，请使用以下命令：
tux > gpg -d -o DECRYPTED_FILE
ENCRYPTED_FILE请将 DECRYPTED_FILE 替换为想让解密的文件使用的名称，并将 ENCRYPTED_FILE 替换为要解密的加密文件。
请记住，只能使用加密时所用的相同密钥来解密加密文件。如果您要与其他人共享加密文件，必须使用此人的公共密钥来加密该文件。