VirtualBox 中 Linux 虚拟机的加密方案
一、方案总览与选择
- 内置磁盘加密（推荐）：使用 Oracle VM VirtualBox 磁盘映像加密，对虚拟机的虚拟磁盘进行透明加密，基于 AES‑XTS，密钥长度 128/256 位。自 VirtualBox 7.0 起支持“全加密虚拟机”（含配置与快照），但当前主要通过命令行完成；图形界面也可对单机的磁盘进行加密。此方式依赖 Extension Pack。适合大多数场景，操作便捷、集成度高。
- 容器级加密（VeraCrypt）：在主机上创建 VeraCrypt 加密容器/分区，将虚拟机文件或磁盘放入其中，再在 VirtualBox 中使用。优点是跨虚拟化平台、支持隐藏卷；缺点是路径管理与权限配置稍复杂，性能取决于主机与容器位置。
二、内置磁盘加密步骤（图形界面与命令行）
- 前置条件
- 安装与 VirtualBox 版本匹配的 Oracle VM VirtualBox Extension Pack（扩展包提供加密功能）。
- 建议先对虚拟机做完整备份；加密会修改磁盘映像与配置，操作不可逆。
- 图形界面加密（适合一次性加密整台虚拟机的磁盘）
- 关闭目标 Linux 虚拟机。
- 打开“设置”→“存储”，确认要加密的虚拟硬盘（如 VDI/VMDK）。
- 在磁盘属性的“加密”处启用加密，选择 AES‑XTS‑128 或 AES‑XTS‑256，设置并确认强密码。
- 启动虚拟机，按提示输入密码解密并挂载磁盘。
- 如需更改密码，可在磁盘属性的加密选项中执行（需输入旧密码）。
- 命令行加密（VBoxManage，适合精细控制）
- 加密单个磁盘映像（按磁盘 UUID 或文件路径）：
VBoxManage encryptmedium "uuid|/path/to/disk.vdi" \
--newpassword /path/to/pwd.txt \
--cipher AES-XTS-256-XTS
说明：
- 密码可通过文件传入（避免命令行历史泄露），或使用
- 让命令行交互输入。
- 可单独加密某磁盘，而不影响同一虚拟机中的其他磁盘。
- 批量/整机关联磁盘加密（对指定 VM 的所有磁盘加密）：
VBoxManage encryptvm "VM 名称" \
--newpassword /path/to/pwd.txt \
--cipher AES-XTS-256-XTS
- 启动与解密：
VBoxManage startvm "VM 名称"
启动时会提示输入加密密码，或在 API/脚本中按安全方式提供。
三、VeraCrypt 容器加密方案（主机侧加密）
- 适用场景
- 需要在不同虚拟化软件间迁移虚拟机文件。
- 希望利用 隐藏卷、更灵活的容器/分区级管理。
- 基本步骤
- 在主机安装 VeraCrypt，创建加密容器或加密分区/整盘，设置强密码（可配合密钥文件）。
- 挂载加密卷为本地盘符/路径。
- 在 VirtualBox 创建新虚拟机或将现有虚拟机的磁盘/整个文件夹移动到该加密卷中。
- 在 VirtualBox 设置里将虚拟硬盘指向加密卷中的文件（或移动后的位置），再启动虚拟机。
- 使用完毕后卸载加密卷，确保主机侧数据落盘与锁定。
四、重要限制与安全注意
- 内置加密依赖 Extension Pack；加密仅作用于“用户数据”，目前不提供磁盘元数据完整性校验（攻击者可能破坏块或元数据）。
- 包含加密磁盘的 OVF 导出会被解密，无法保持加密状态；迁移请直接拷贝加密后的磁盘文件并在目标环境配置相同密码。
- 加密/解密时，密码会通过 VirtualBox API 以明文传递；若经由第三方 API/Web 服务调用，必须使用 HTTPS 保护通道。
- 加密密钥（DEK）在虚拟机运行时驻留内存；若主机被攻陷，存在密钥提取风险。
- 使用差分映像时，仅当不存在快照或快照链为线性时才可加密；复杂快照拓扑需先整理。
- 全加密虚拟机（VirtualBox 7.0+）支持加密配置与快照，但主要通过 命令行 管理；图形界面加密通常按磁盘粒度进行。
五、实用建议
- 密码与恢复
- 使用高强度密码（推荐 ≥20 位，混合大小写、数字与符号），必要时结合密钥文件；妥善保管密码与恢复材料。
- 定期备份加密磁盘与虚拟机配置；丢失密码将无法恢复数据（DEK 丢失即数据不可恢复）。
- 运维与迁移
- 迁移/拷贝加密磁盘时，确保目标环境安装匹配版本的 Extension Pack 并准备相同密码。
- 若需导出或共享模板，请先解密或在导出前临时移除加密属性（注意合规与保密）。