最务实的敏感数据加固方式是直接加密存放敏感数据的磁盘分区，如/home、/var或/data、专用数据盘，使用LUKS2并禁用/boot加密，配合密钥管理与文件级加固。
直接加密存放敏感数据的磁盘分区，是最务实、风险覆盖最准的加固方式——既避免全盘加密带来的运维负担，又确保核心数据在设备失窃或被拆机时彻底不可读。
选对分区，只加密真正敏感的部分
不必给整个系统盘加密。重点锁定实际承载敏感资产的位置：
- /home 分区：用户主目录，含配置文件、私钥、临时下载、办公文档等，是个人与终端场景的首选加密目标
- /var 或独立 /data 分区：服务器常见做法，数据库文件、日志归档、客户上传内容等集中存于此，加密后不影响系统服务启动
- 专用数据盘（如 /dev/sdb）：物理隔离更清晰，便于备份、迁移和权限收口，适合多租户或合规审计环境
用LUKS2做底层加密，稳且可控
Linux下LUKS2是当前生产级首选，支持AES-256、密钥派生迭代、TPM2密封、多密钥策略等关键能力：
- 安装时勾选“加密此分区”最省事；已运行系统可用
cryptsetup reencrypt离线原地加密，不丢文件、不改路径 - 务必禁用 /boot 分区加密——它必须明文存在，否则GRUB无法加载内核
- 密钥别只靠密码：推荐 USB Key + 口令双因子，或用 systemd-cryptenroll 将密钥密封进TPM2芯片，防止离线暴力破解
配套动作不能少，防的是人不是算法
加密有效，前提是密钥不被顺走、系统不被绕过：
- 恢复密钥单独保存——打印后锁进保险柜，或离线存于另一台可信设备，切勿同步到同一云盘或贴在主机上
- 服务器若无人值守，避免加密根分区；可改用 eCryptfs 加密 /var/log 或 /opt/appdata 这类子目录，重启无交互阻塞
- 报废前执行 NIST SP 800-88 合规擦除：LUKS header 毁掉 + 全盘覆写，别只删映射表或格式化
搭配文件级加固，堵住配置泄露缺口
分区加密管存储，但很多敏感信息藏在明文配置里：
- Nginx、MySQL、FastDFS 的 conf 文件含账号密码、内网地址，建议用 OpenSSL AES-256-CBC 直接加密文件本身，启动前解密载入
- 日志缓存类临时目录，可用 eCryptfs 按用户挂载，性能损耗约15–20%，但支持细粒度隔离
- 禁止把密钥硬编码进脚本或写入环境变量；优先使用 secret manager 或 kernel keyring 调度
