dm加密设备的I / O开销？

在Linux台式机（Ubuntu）上使用dm-crypt（LUKS）作为完整磁盘加密（包括根分区）时，读/写开销是多少？我打算这样堆叠它：LUKS> LVM> ext4系统上使用的CPU是Core2 Duo 2.1 GHz，具有4GB RAM。

这样的系统加密会产生很大的/明显的开销吗？
网上是否有最新基准？您的个人经历是什么？
我可以进行任何设置以提高性能吗？

谢谢您的帮助。

— 乔特
source

dm-crypt不涉及I / O开销-仅CPU开销...;）

例如，在Athlon 64 2.6 GHz双核系统上，我可以以约40 MB /秒（2.6.26内核，Seagate 1.5 TB SATA磁盘）的速度从一个dm-crypt磁盘复制到另一个dm-crypt磁盘。

为了提高性能，请确保已加载针对您的架构优化的aes模块，例如

$ lsmod | grep aes
aes_x86_64             12416  6 
aes_generic            32552  1 aes_x86_64

关于数据安全性，由于dm-crypt，因此无需禁用写缓存。旧版本不支持写屏障，但是自2010年以来（内核2.6.31左右），dm-crypt 确实支持它们（分别为unit-unit-access-FUA）。

顺便说一句，有人可以说加密根分区实际上没有任何意义。

但是，加密交换确实有意义。

— Maxschlepzig
source

也许还有人争辩说，当您不知道自己在做什么（或仅认为自己知道）时，搞乱hdparm 可能会损坏硬盘驱动器。

— amphetamachine，2012年

如果威胁模型包括攻击者获得临时物理访问权并以单用户模式或从USB驱动器启动并安装恶意软件（例如键盘记录程序或rootkit）的可能性，则对根分区进行加密是有意义的。对于普通用户，这也意味着不必担心忘记加密/tmp（如果未与`tmpfs一起安装）以及任何其他可能泄漏私有数据的目录。

— Anthony Geoghegan

@AnthonyGeoghegan，这也许对某些对手有效。但是为了防止您描述的威胁模型，您还必须保护引导加载程序（例如，使用在执行引导程序之前对其进行密码检查的固件）。

— maxschlepzig

@maxschlepzig在我早些时候写评论时，我想到了这个想法，但是我不想在一个小的评论框中过度使用免责声明和条件。第二个原因可能更重要：我使用FDE（在拥有10年历史的笔记本电脑上），所以我不必担心（同样多）凭据和私钥/etc或其他某种敏感数据以某种方式被记录/var/（已签名，BTW））。

— Anthony Geoghegan

如果您计划执行LVM快照，则Ext4可能是文件系统的错误选择。我建议先进行大量磁盘性能检查，然后再进行测试，同时尝试在FS和LVM上使用块大小。我的经验是使用Ext3，但是当时我看到的其他文章暗示Ext4存在类似的问题。

我通过使用XFS作为文件系统解决了它。

— 邵逸夫
source