Linux内核加密技术应用和选型决策树

 

1 Linux内核加密技术分类总结

类别	技术	支持对象	优点	缺点	典型应用场景	实现难易度	性能开销
单个文件/目录	eCryptfs	文件/目录（堆叠在EXT4/XFS/Btrfs等上）	✅ 细粒度控制 ✅ 跨平台迁移	❌ 元数据未加密 ❌ 小文件性能差	用户主目录加密	★★☆	15-40%
单个文件/目录	gocryptfs	文件/目录（通过FUSE）	✅ 反向模式（隐藏文件名） ✅ 用户态易部署	❌ FUSE性能损失 ❌ 依赖用户态进程	云存储客户端加密	★★☆	20-35%
文件系统级	fscrypt	EXT4, F2FS	✅ 内核原生高性能 ✅ 文件名加密	❌ 元数据暴露 ❌ 仅限特定文件系统	Android数据分区	★☆☆	<5%
文件系统级	Btrfs原生加密	Btrfs（内核≥5.6）	✅ 子卷级加密 ✅ 支持元数据加密（部分）	❌ 工具链不成熟 ❌ 缺少企业级特性	Btrfs专用存储系统	★★☆	3-8%
物理块设备级	dm-crypt + LUKS	磁盘/分区/LVM/RAID	✅ 全盘加密（含空闲空间） ✅ 抗物理攻击	❌ 启动需解密 ❌ 无法部分加密	服务器数据盘全加密	★★☆	3-10%
物理块设备级	SEDs (OPAL 2.0)	支持OPAL的SSD/HDD	✅ 零性能开销 ✅ 硬件级密钥隔离	❌ 设备绑定 ❌ 依赖厂商工具	企业数据中心硬件加密	★☆☆	0%

2 技术选型决策树