journalctl --verify 是 systemd 日志完整性校验工具，仅在启用 Forward Secure Sealing（Seal=yes、KeyedHash=yes）并完成 journalctl --setup-keys 初始化后，才能可靠检测历史日志篡改；否则仅做格式检查。

journalctl --verify 是 systemd 日志完整性验证的直接手段，但它不是“一键防篡改”的开关，而是配合密封（Sealing）机制使用的校验工具。只有在日志文件已启用 Forward Secure Sealing 且未被破坏的前提下，journalctl --verify 才能可靠检测出历史日志是否被修改。

确保密封功能已启用并初始化

这是验证有效的前提。若未启用 Seal，journalctl --verify 仅做基础格式检查，无法发现内容篡改。

• 编辑 /etc/systemd/journald.conf，确认以下配置存在且未被注释：

[Journal]
Storage=persistent
Seal=yes
KeyedHash=yes

• 重启服务：systemctl restart systemd-journald
• 首次启用后必须生成密钥：journalctl --setup-keys（该命令会创建 /var/log/journal/<machine-id>/.journal-secrets，权限自动设为 600 root:root）
• 重启后，新生成的日志文件将包含 TAG 对象，并在文件头标记 HEADER_COMPATIBLE_SEALED

使用 journalctl --verify 进行完整性校验

该命令读取日志文件中的哈希链和 TAG 标签，逐块验证一致性。任何对已密封日志的增、删、改都会导致校验失败。

• 验证当前所有日志：journalctl --verify
• 验证指定路径下的日志文件（如归档日志）：journalctl --verify /var/log/journal/xxx/xxxx.journal~
• 启用详细输出（显示每个校验步骤）：journalctl --verify --verbose
• 静默模式只返回状态码：成功为 0，发现损坏为 1，无密封信息为 2

典型输出示例：

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

$ journalctl --verify
PASS: /var/log/journal/abc123.../system.journal
PASS: /var/log/journal/abc123.../user-1000.journal

若某文件被手动修改（如用 hexedit 编辑），会提示类似：FAIL: hash chain broken at entry XXXX。

理解验证结果与日常防护边界

--verify 是事后检测工具，不能阻止篡改发生，只能暴露篡改行为。它依赖两个关键事实：

• 密钥存储在本地（/var/log/journal/<id>/.journal-secrets），若攻击者获得 root 权限并删除或替换该目录，密封即失效
• 仅校验已写入磁盘的持久化日志；内存中未刷盘的 journal 数据不参与密封，也不被 --verify 覆盖
• 校验通过 ≠ 日志完全可信：它不防重放、不验证来源真实性，仅保证“自密封以来未被修改”

因此，应结合其他措施：将 /var/log/journal 挂载为只读（需先停服务）、定期导出日志到远程不可变存储（如 S3 + WORM）、部署 AIDE 监控 journal 文件自身权限与大小变化。

补充：快速定位可疑日志时段

当 --verify 报告失败时，可缩小排查范围：

• 用 journalctl --list-boots 查看各次启动对应的日志范围
• 对单次启动日志单独验证：journalctl -b -1 --verify（验证上一次启动）
• 结合时间戳过滤查看异常前后操作：journalctl --since="2026-04-28 14:00:00" --until="2026-04-28 14:05:00" -o json-pretty