1. 项目概述：为什么我们需要一个“数字保险箱”？

在数字生活里，我们的敏感文件——从工作合同、财务记录到私人日记和家庭照片——越来越多地存储在硬盘上。直接放在桌面文件夹里，就像把现金放在没上锁的抽屉，一旦设备丢失、被盗或临时借给他人，隐私便荡然无存。系统自带的加密功能往往要么操作复杂，要么与特定平台绑定。这时，一个独立、便携、强力的加密容器工具就显得尤为重要。Tomb 正是这样一个工具，它不是一个软件套件，而是一个精悍的“数字保险箱”制造和管理系统。

简单来说，Tomb 帮助你在硬盘上创建一个加密的“文件容器”（通常是一个后缀为 .tomb 的文件）。这个容器本身看起来就是个普通大文件，但只有用正确的密钥“打开”它时，它才会在系统中变成一个可读写的虚拟磁盘（比如 /media/tomb ）。你在里面进行的任何文件操作，都会被实时、透明地加密后写入那个 .tomb 文件。关闭后，虚拟磁盘消失，所有内容再次被锁死在加密容器内，旁人看到的只是一个无法直接解读的二进制文件。对于初学者而言，掌握 Tomb 意味着你获得了一种将隐私数据物理隔离并施加高强度保护的能力，这种能力不依赖于某个特定的操作系统或云服务商，完全由你自己掌控。

2. 核心原理与工具选型：Tomb 是如何工作的？

在动手之前，理解 Tomb 的基本工作原理能让你在后续操作中更有底气，遇到问题也知道该从哪个环节排查。Tomb 的运作可以拆解为三个核心层：存储层、加密层和接入层。

存储层 就是最终那个 .tomb 文件。它本质上是一个经过格式化的磁盘镜像文件，就像你制作一个 USB 启动盘时用的 .iso 文件，只不过这个镜像的内容全是加密过的。Tomb 使用 Linux 下的 loop 设备机制，将这个文件“伪装”成一个块设备（类似一块虚拟硬盘）。

加密层 是 Tomb 安全性的核心。它默认使用 Linux 内核提供的 dm-crypt 子系统，配合 LUKS （Linux Unified Key Setup）标准。 LUKS 不仅负责实际的加密算法（如 AES），更重要的是它提供了一套密钥管理框架。当你创建一个 Tomb 时，会生成一个主密钥（Master Key）用于加密数据，而这个主密钥本身又被你设置的密码（或其他密钥文件）所加密。这种两层密钥结构的好处是，你可以随时更改访问密码（即加密主密钥的密钥），而无需重新加密整个容器内的海量数据。

接入层 指的是打开 Tomb 后的使用体验。Tomb 利用 udev 规则和 cryptsetup 工具，在输入正确密码后，将解密后的虚拟块设备自动挂载到你指定的目录。此时，你可以像使用普通文件夹一样使用它，所有写入操作由系统自动、透明地完成加密。

为什么选择 Tomb 而不是其他工具？ 市面上有 VeraCrypt、GnuPG 乃至 ecryptfs 等多种方案。Tomb 的优势在于其极简哲学和脚本化设计。它没有图形界面，所有功能通过一行命令完成，这使得它极其轻量、依赖少，并且易于脚本化集成和自动化。对于追求可控性、喜欢命令行效率的用户，或者需要在服务器、无图形界面的环境中部署加密存储的场景，Tomb 是更优雅的选择。它的设计理念是“一个工具，做好一件事”，并且通过巧妙的 Shell 脚本将 cryptsetup 、 losetup 、 pinentry 等底层工具粘合起来，提供了比直接操作底层命令友好得多的用户体验。

3. 环境准备与安装：搭建你的加密工作台

开始制作你的第一个数字保险箱之前，需要确保工作环境就绪。Tomb 主要面向 Linux 环境，在 macOS 上也可以通过 Homebrew 安装，但功能和体验可能不如在 Linux 上原生完整。以下以常见的 Debian/Ubuntu 及其衍生系统为例。

3.1 安装依赖与 Tomb 本体

首先，打开你的终端。Tomb 本身是一个 Shell 脚本集合，但它依赖一些关键的系统工具来执行加密、循环挂载和密钥管理。

# 更新软件包列表，确保获取最新的版本信息
sudo apt update

# 安装 Tomb 的核心依赖
# cryptsetup: 提供 LUKS 加密卷管理功能，是 Tomb 的引擎。
# zsh 或 bash: Tomb 脚本本身需要运行在 Shell 环境中，系统通常已具备。
# pinentry-curses: 用于在命令行下安全地输入密码，避免密码被记录在历史中。
# file: 用于文件类型识别。
# sudo: 用于执行需要 root 权限的操作（挂载、卸载等）。
sudo apt install -y cryptsetup zsh pinentry-curses file sudo

# 安装可选的、但强烈推荐的依赖
# steghide: 用于将密钥文件隐藏到图片等载体中（“隐写术”）。
# qrencode: 将文本密钥生成二维码，方便打印或离线备份。
# dcfldd: 一个增强版的 dd 工具，用于安全擦除，提供进度显示。
sudo apt install -y steghide qrencode dcfldd

安装好依赖后，从 Tomb 的官方 Git 仓库获取最新版本。通常不建议使用系统仓库里可能存在的旧版本。

# 克隆 Tomb 的代码仓库
git clone https://github.com/dyne/Tomb.git

# 进入目录
cd Tomb

# 以 root 权限运行安装脚本。这会将 `tomb` 主脚本、相关工具和手册页安装到系统路径（如 /usr/local/bin）。
sudo make install

安装完成后，在终端输入 tomb 并回车，你应该能看到帮助信息，列出所有可用的命令（ dig , forge , lock , open , close 等）。这证明安装成功。

3.2 关键概念与文件准备

在开始 dig （挖掘）和 forge （锻造）之前，先明确接下来会生成哪些文件，以及它们的作用：

1. Tomb 容器文件 ( .tomb ) : 这是加密存储的主体，一个经过格式化的加密镜像文件。你可以把它放在任何地方——本地硬盘、外置USB驱动器，甚至网络存储上。它的大小在创建时决定，之后无法直接调整（但可以通过一些高级技巧扩容）。
2. 密钥文件 ( .tomb.key ) : 这是打开 Tomb 的“钥匙”。它是一个文件，里面包含了加密后的主密钥。 这个文件至关重要，一旦丢失，且你没有备份，容器内的数据将永久无法找回。 你可以为一把钥匙设置密码（即“密钥的密码”），形成双重保护。
3. 隐藏密钥文件 (可选) : 你可以使用 steghide 等工具将 .tomb.key 文件隐藏到一张普通的 JPEG 图片中。这样，即使有人检查你的文件，也只会看到一张图片，而不知道里面藏有密钥。这是一种物理层面的隐蔽安全。

注意：安全的第一原则是备份。 在开始前，请想好你的密钥文件备份策略。例如，将其加密后存放在另一个安全的物理位置（如银行保险箱），或者使用 Shamir’s Secret Sharing 等算法将密钥分片，交给可信的多人保管。永远不要将密钥文件和 Tomb 容器放在同一个磁盘、甚至同一台电脑上，那等于把钥匙挂在锁旁边。

4. 分步实操：创建并管理你的第一个加密 Tomb

现在，让我们从零开始，创建一个 100MB 的加密存储空间，用于存放最敏感的文档。假设你当前位于家目录 ( ~ )。

4.1 第一步：挖掘坟墓 (Dig the Tomb)

这个步骤是创建一个指定大小的空容器文件。

# 语法: tomb dig -s <大小> <容器文件路径>
tomb dig -s 100M ~/my_secrets.tomb

• -s 100M : 指定容器大小为 100 MB。单位可以是 K, M, G, T。请根据需求预估，预留一些空间。后续扩容比较麻烦。
• ~/my_secrets.tomb : 指定容器文件的存放路径和名称。后缀 .tomb 是惯例，非强制。

执行后，你会看到类似 tomb: .tomb created successfully. 的输出，并在家目录下看到一个约 100MB 的 my_secrets.tomb 文件。用 file 命令查看，会显示它是一个“LUKS encrypted file”。此时它还是一个空的、加密的“房子”，没有门（密钥），里面也没有文件系统。

4.2 第二步：锻造钥匙 (Forge the Key)

接下来，创建打开这个容器的密钥文件。

# 语法: tomb forge <密钥文件路径>
tomb forge ~/my_secrets.key

执行这个命令后，会启动 pinentry-curses 界面，提示你输入密码。这个密码用于加密密钥文件本身。

• 密码强度要求 ：这里输入的密码是保护密钥文件的，请务必使用高强度密码（长短语、包含大小写、数字、符号）。系统会要求你输入两次以确认。
• 密码的作用 ：以后每次使用 tomb open 时，都需要输入这个密码来解密密钥文件。即使别人拿到了你的 .key 文件，没有密码也无法使用。

锻造成功后，会生成 ~/my_secrets.key 文件。 请立即将其备份到安全的离线介质（如加密的 U 盘）上，并从当前电脑中删除原文件（使用 shred 或 rm -P ） 。我们接下来使用 Tomb 的 lock 命令时，它会自动处理密钥的临时使用和清理。

4.3 第三步：上锁与格式化 (Lock the Tomb)

这一步将钥匙和锁（容器）配对，并在容器内创建文件系统（如 ext4）。

# 语法: tomb lock <容器文件> -k <密钥文件>
tomb lock ~/my_secrets.tomb -k ~/my_secrets.key

命令执行过程如下：

1. 它会先问你刚才为密钥文件设置的密码，以解密密钥。
2. 然后，它会用这把密钥去初始化（格式化）那个 .tomb 容器文件，在其中建立 LUKS 加密头并创建文件系统。
3. 完成后，你的容器就准备好了。此时，密钥文件的使命暂时完成。

实操心得 ： lock 命令是消耗时间的，尤其是创建大容量容器时。因为它需要在整个容器空间内进行加密初始化。对于 1GB 以上的容器，请耐心等待。你可以在命令后加上 -g 参数来显示进度条。

4.4 第四步：打开与使用 (Open the Tomb)

现在，是时候打开保险箱，开始存放物品了。

# 语法: tomb open <容器文件> -k <密钥文件> [挂载点]
tomb open ~/my_secrets.tomb -k ~/my_secrets.key ~/SecretsVault

• ~/my_secrets.tomb : 容器文件路径。
• -k ~/my_secrets.key : 密钥文件路径。Tomb 会临时将其复制到内存盘（ /dev/shm ）中使用，操作结束后自动擦除，避免在硬盘上留下痕迹。
• ~/SecretsVault : （可选）指定一个目录作为挂载点。如果不指定，Tomb 会自动在 /media 下创建一个以容器命名的目录（如 /media/my_secrets ）。

输入密钥文件的密码后，如果一切顺利，终端会输出类似 tomb: .tomb opened successfully. 的信息。此时，你可以通过文件管理器或 cd 命令进入 ~/SecretsVault 目录。你会发现它是一个空文件夹。你可以在此进行任何文件操作：复制、移动、创建、删除。所有动作都会在底层被加密后写入 my_secrets.tomb 文件。

4.5 第五步：关闭与清理 (Close the Tomb)

使用完毕后，务必关闭 Tomb，以确保数据完全写入并加密锁存。

# 语法: tomb close [容器名称或挂载点]
tomb close ~/SecretsVault
# 或者使用自动发现的名称
tomb close my_secrets

close 命令会：

1. 同步所有文件系统缓存，确保数据写入容器。
2. 卸载 ( umount ) 挂载点。
3. 关闭 ( cryptsetup close ) 对应的加密映射设备。
4. 从系统中移除循环 ( loop ) 设备。
5. 清理内存中残留的密钥副本。

关闭后， ~/SecretsVault 目录变空（或消失），你的数据再次安全地锁在 my_secrets.tomb 文件中。你可以安全地压缩、传输或备份这个 .tomb 文件。

5. 高级技巧与日常管理

掌握了基本流程后，下面这些技巧能让你的 Tomb 使用体验更安全、更便捷。

5.1 密钥管理进阶：隐写术与二维码

将密钥藏入图片 ：这能有效应对“被要求检查文件”的物理场景。

# 首先，准备一张普通的 JPEG 图片，比如 vacation.jpg
# 然后，将密钥文件隐藏进去
steghide embed -cf vacation.jpg -ef my_secrets.key -p “你的隐写密码”

# 嵌入后，vacation.jpg 看起来还是一张图片，但已包含密钥。
# 需要提取密钥时：
steghide extract -sf vacation.jpg -p “你的隐写密码”
# 这会提取出 my_secrets.key 文件，然后配合 tomb open 使用。

将密钥打印成二维码 ：用于物理离线备份，避免手抄长密码出错。

# 将密钥文件内容生成二维码图片
cat my_secrets.key | qrencode -o my_secrets_key_qr.png
# 或者，如果你只想备份用于解密的密码短语，也可以将其生成二维码。

将 png 文件打印出来，存放在安全的地方。恢复时，用手机扫码应用识别二维码，将文本复制出来保存为 .key 文件即可。

5.2 调整与维护：修改密码、调整大小

修改密钥密码 ：如果你觉得当初设置的密码不够安全，或者有泄露风险，可以修改密码，而 无需重新加密整个容器 。

# 语法: tomb passwd <容器文件> -k <旧密钥文件>
tomb passwd ~/my_secrets.tomb -k ~/my_secrets.key

命令会要求你输入旧密码，然后设置新密码。这个过程只重新加密了保护主密钥的那一层，速度很快。

调整容器大小（扩容） ：Tomb 本身不直接支持扩容，但可以通过底层命令组合实现，这是一个有风险的高级操作。基本思路是：

1. 创建一个新的、更大的 .tomb 文件。
2. 用旧密钥锁定它。
3. 同时打开旧容器和新容器。
4. 使用 rsync 或 dd 将旧容器的数据复制到新容器。
5. 验证数据完整性后，关闭并删除旧容器。

注意事项 ：扩容操作务必在数据有完整备份的前提下进行。任何一步出错都可能导致数据丢失。对于新手，更推荐的做法是：直接创建一个新的、更大容量的 Tomb，然后将旧 Tomb 中的数据手动转移过去。

5.3 自动化与脚本集成

Tomb 的命令行特性使其极易集成到脚本中。例如，你可以创建一个简单的打开/关闭脚本：

#!/bin/bash
# 文件: open_my_vault.sh
TOMB_PATH="$HOME/my_secrets.tomb"
KEY_PATH="$HOME/backup/usb/my_secrets.key" # 密钥从U盘读取
MOUNT_POINT="$HOME/Vault"

tomb open "$TOMB_PATH" -k "$KEY_PATH" "$MOUNT_POINT" && echo "Vault opened at $MOUNT_POINT" || echo "Failed to open vault"

#!/bin/bash
# 文件: close_my_vault.sh
tomb close all  # 关闭所有已打开的 Tomb
echo “All vaults closed.”

你甚至可以将打开 Tomb 的命令添加到 .bashrc 或 .zshrc 中，配合 ssh-agent 类似的机制（但需极其小心密钥安全），实现登录后自动挂载特定加密卷。不过，自动化与安全性需要权衡，自动化程度越高，密钥在内存或脚本中暴露的风险就越大。

6. 常见问题与排查技巧实录

即使按照指南操作，也可能会遇到一些问题。这里记录了一些常见坑点及其解决方法。

6.1 问题：执行 tomb open 时提示权限不足或 cryptsetup 失败

• 可能原因 1 : 没有使用 sudo 安装 Tomb，或者当前用户不在 sudo 组。Tomb 的 open , close , lock 等命令需要 root 权限来操作块设备和挂载。
  • 排查 : 运行 groups 查看当前用户所属组，确认是否有 sudo 。
  • 解决 : 使用 sudo tomb open ... ，或者将用户加入 sudo 组 ( sudo usermod -aG sudo $USER )，然后重新登录。
• 可能原因 2 : 内核模块未加载。 dm-crypt 和 loop 模块需要被加载。
  • 排查 : 运行 lsmod | grep -E “dm_crypt|loop” ，如果没有输出，说明模块未加载。
  • 解决 : 运行 sudo modprobe dm_crypt loop 手动加载。大多数现代 Linux 发行版会在需要时自动加载，但某些最小化安装可能不会。
• 可能原因 3 : 密钥文件或密码错误。这是最常见的原因。
  • 排查 : 仔细检查密钥文件路径是否正确，密码是否输入错误（注意大小写）。
  • 解决 : 重新 forge 一把钥匙并 lock 。如果容器里已有数据，且密钥丢失，数据将无法恢复，这凸显了备份密钥的重要性。

6.2 问题：挂载点目录不为空或挂载失败

• 可能原因 : 你指定的挂载点目录（如 ~/SecretsVault ）非空，里面已有文件。
  • 排查 : 使用 ls -la ~/SecretsVault 查看。
  • 解决 : 要么换一个空的目录作为挂载点，要么清空该目录（ 务必确认里面的文件不重要！ ）。Linux 不允许将设备挂载到一个非空目录上，因为这会隐藏原有文件。

6.3 问题：关闭 Tomb 时提示 “Device busy”

• 可能原因 : 还有进程正在访问挂载点内的文件，或者你的当前终端工作目录就在挂载点内。
  • 排查 : 使用 lsof +D ~/SecretsVault 命令查看哪些进程正在使用该目录下的文件。
  • 解决 : 切换到其他目录 ( cd ~ )，关闭所有可能访问该目录的程序（如文件管理器、文本编辑器），然后再次尝试 tomb close 。也可以使用 tomb close -f 进行强制关闭，但可能增加数据损坏的风险，不推荐常规使用。

6.4 问题：在非 Linux 系统上如何访问 .tomb 文件内的数据？

• 现状 : Tomb 严重依赖 Linux 内核特性（ dm-crypt , loop ），在 Windows 或 macOS 上无法直接打开。
• 解决方案 :
  1. 虚拟机方案 : 在 Windows/macOS 上安装 Linux 虚拟机（如 VirtualBox），将 .tomb 文件作为共享文件夹传递给虚拟机，在虚拟机内用 Tomb 打开。
  2. 双系统方案 : 如果机器安装了 Linux 双系统，重启进入 Linux 即可访问。
  3. 转换方案（有损） : 这是一个最后的手段。在 Linux 系统中打开 Tomb，将其中的所有文件打包成一个加密的压缩包（如用 7-Zip 创建 AES-256 加密的 .7z 文件），然后将这个压缩包拿到其他系统上，用对应的解密工具打开。这失去了 Tomb 的透明加密和即时挂载特性。

6.5 性能与兼容性考量

• 性能影响 : 透明加密会带来一定的 CPU 开销。对于 AES-NI 指令集支持的现代 CPU，加解密速度很快，日常文件操作几乎无感。但对于大量小文件的频繁写入/读取，或是在老旧 CPU 上，可能会察觉到延迟。
• 文件系统选择 : Tomb 默认使用 ext4 文件系统，它在 Linux 上非常稳定可靠。你也可以在 lock 时通过 -f 参数指定其他文件系统，如 -f btrfs 或 -f xfs ，但必须确保系统内核支持并已安装相应工具 ( mkfs.btrfs , mkfs.xfs )。
• 与云存储的配合 : 你可以将 .tomb 文件同步到云盘（如 Dropbox, Google Drive）。这相当于将你的加密保险箱放到了云端。 切记，千万不要将 .tomb.key 密钥文件也同步上去！ 云端只存放加密后的容器文件。这样即使云服务商被入侵，对方拿到的也只是加密的二进制数据。

我个人在实际使用 Tomb 的几年里，最大的体会是“信任转移”。我不再需要完全信任某个云服务商的隐私条款，也不再担心电脑维修时硬盘被窥探。我把最核心的信任放在了密码学和这套开源工具链上，而密钥的物理保管责任则完全在自己手中。这种掌控感，是任何图形化一键加密工具难以给予的。刚开始接触命令行可能会觉得有些门槛，但一旦熟悉了 dig , forge , open , close 这几个核心命令的节奏，管理加密存储就会变得像呼吸一样自然。最后一个小技巧是，为不同的安全级别创建不同的 Tomb：一个用于日常财务文档（100MB），一个用于项目源代码（1GB），另一个用于归档的私人媒体（根据需要可能更大）。分而治之，既能降低单点故障风险，也便于管理和备份。