敏感行业需基于Linux实现国密算法端到端加密，须整合SM4、SM2、SM3，通过内核模块启用、LUKS2+SM4全盘加密、OpenSSL 3.0文件级加密及权限审计联动落地。
敏感行业（如金融、政务、能源、军工）对数据合规性要求极高，Linux文件系统需在满足等保2.0、密码法及GM/T系列标准前提下，实现端到端国密算法加密加固。单纯依赖传统AES或LUKS无法满足国产密码应用要求，必须整合SM4（对称加密）、SM2（非对称密钥管理）、SM3（哈希）形成闭环。以下为可落地的配置路径。
启用内核级SM4支持与模块加载
主流Linux发行版默认不启用国密算法内核模块。需确认内核版本 ≥ 5.10（原生支持SM4），并手动加载：
- 检查是否已编译SM4：运行 grep CONFIG_CRYPTO_SM4 /boot/config-$(uname -r)，输出 y 或 m 表示支持
- 若为 m，执行 modprobe crypto_sm4 并写入 /etc/modules 持久化
- 验证算法可用性：运行 cat /proc/crypto | grep -A 5 -B 5 sm4，应显示 name : sm4 及 driver : sm4-generic
- 如内核过旧（如CentOS 7.9默认3.10），需升级至兼容内核或使用OpenSSL 3.0+国密引擎替代
基于LUKS2+SM4构建全盘/分区加密
LUKS2支持自定义加密后端，可将底层cipher替换为SM4-XTS（国密推荐模式）：
- 创建SM4加密分区：cryptsetup luksFormat --type luks2 --cipher sm4-xts-plain64 --key-size 256 --hash sm3 /dev/sdb1
- 打开并挂载：cryptsetup open /dev/sdb1 encrypted_vol && mkfs.ext4 /dev/mapper/encrypted_vol && mount /dev/mapper/encrypted_vol /mnt/secdata
- 关键点：必须指定 --hash sm3 替代默认sha256，确保PBKDF2密钥派生符合GM/T 0005-2021
- 验证加密强度：cryptsetup luksDump /dev/sdb1 | grep -E "(Cipher|Hash|Key size)" 应显示 sm4-xts-plain64 和 sm3
文件级国密加密：集成OpenSSL 3.0国密引擎
对单个敏感文件（如数据库备份、证书密钥）实施SM4加密，避免整盘挂载开销：
- 安装支持国密的OpenSSL：从GmSSL或Wosign国密版编译安装，确保 openssl version 输出含 GmSSL
- SM4加密文件：openssl enc -sm4 -pbkdf2 -md sm3 -iter 100000 -salt -in data.txt -out data.sm4.enc -pass pass:MySecret123
- SM2密钥封装增强保护（推荐）：openssl pkeyutl -encrypt -inkey sm2_pub.pem -peerform PEM -in data.key -out data.key.sm2.enc，再用该密钥加密文件主体
- 解密时必须使用同源SM3哈希与PBKDF2迭代参数，否则无法还原
权限与审计联动强化访问控制
国密加密仅解决静态数据保密性，还需结合Linux原生机制防越权访问：
- 加密卷挂载点设为 root:root 且权限 700：chown root:root /mnt/secdata && chmod 700 /mnt/secdata
- 启用auditd监控敏感操作：aureport -m -i | grep -E "(cryptsetup|openssl.*enc)"，记录所有加解密命令调用
- 配合SELinux策略（如 targeted 策略下启用 crypto_admin 布尔值）限制非授权进程调用加密API
- 禁用交互式shell中明文密码回显：stty -echo 在执行加密命令前启用，防止密码被历史记录捕获
