Android加密之全盘加密详解

Posted LVXIANGAN

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Android加密之全盘加密详解相关的知识,希望对你有一定的参考价值。

前言

android 的安全性问题一直备受关注,Google 在 Android 系统的安全方面也是一直没有停止过更新,努力做到更加安全的手机移动操作系统。

在 Android 的安全性方面,有很多模块:

1 内核安全性
2 应用安全性
3 应用签名
4 身份验证
5 Trusty TEE
6 SELinux
7 加密
等等

其中,加密又分全盘加密(Android 4.4 引入)和文件级加密(Android 7.0 引入),本文将论述加密中的全盘加密的基本知识。全盘加密在 Android 4.4 中引入,在 Android 5.0 中做了比较大的更新。

本文部分片段摘自 Android 官网,融合笔者的个人理解和知识。

什么是全盘加密

全盘加密是使用已加密的密钥对 Android 设备上的所有用户数据进行编码的过程。设备经过加密后,所有由用户创建的数据在写入磁盘之前都会自动加密,并且所有读取操作都会在将数据返回给调用进程之前自动解密数据。

Android 5.0 中又引入了以下新功能:

创建了快速加密方式,这种加密方式只会对数据分区中已使用的分块进行加密,以免首次启动用时过长。目前只有 EXT4 和 F2FS 文件系统支持快速加密。

添加了 forceencrypt fstab 标记,以便在首次启动时进行加密。

添加了对解锁图案和无密码加密的支持。

添加了由硬件支持的加密密钥存储空间,该空间使用可信执行环境(TEE,例如 TrustZone)的签名功能。

全盘加密运作方式

Android 全盘加密基于在块设备层运行的内核功能 dm-crypt。因此,这种加密方式适用于以块设备的形式呈现给内核的嵌入式多媒体卡 (eMMC) 和类似闪存设备。YAFFS 会直接与原始 NAND 闪存芯片交互,无法进行全盘加密。

全盘加密采用的是 128 位高级加密标准 (AES) 算法(搭配密码块链接 (CBC) 和 ESSIV:SHA256)。对主密钥进行加密时使用的是 128 位 AES 算法,并会调用 OpenSSL 库。对于该密钥,您必须使用 128 位或更多位(可以选择 256 位)。

Android 5.0 版中有以下 4 种加密状态:

默认
PIN 码
密码
解锁图案

 

首次启动时,设备会创建一个随机生成的 128 位主密钥,然后会使用默认密码和存储的盐对其进行哈希处理。默认密码是“default_password”。不过,设备还会通过 TEE(例如 TrustZone)为生成的哈希签名。TEE 会使用相应签名的哈希来加密主密钥。

您可以在 Android 开放源代码项目 cryptfs.c 文件中找到定义的默认密码。

当用户在设备上设置 PIN 码/通行码或密码时,只有 128 位的密钥会被重新加密并存储起来(也就是说,更改用户 PIN 码/通行码/解锁图案不会导致重新加密用户数据)。请注意,受管理的设备可能受 PIN 码、解锁图案或密码限制。

加密操作由 init 和 vold 管理。 init 负责调用 vold,然后 vold 会设置相关属性以触发 init 中的事件。系统的其他部分也会查看这些属性以执行各项任务,例如报告状态、提示输入密码,或有严重错误发生时提示恢复出厂设置。为了调用 vold 中的加密功能,系统会使用命令行工具 vdc 的 cryptfs 命令:checkpw、restart、enablecrypto、changepw、cryptocomplete、verifypw、setfield、getfield、mountdefaultencrypted、getpwtype、getpw 以及 clearpw。

要加密、解密或清空 /data,/data 不得处于装载状态。但要显示任何界面,框架都必须启动,而框架需要 /data 才能运行。为了解决这一冲突,/data 上会装载一个临时文件系统。通过该文件系统,Android 可以提示输入密码、显示进度或根据需要建议清除数据。不过,该文件系统会带来以下限制:要从临时文件系统切换到实际的 /data 文件系统,系统必须停止临时文件系统中打开了文件的所有进程,并在实际的 /data 文件系统中重启这些进程。为此,所有服务都必须位于以下其中一个组内:core、main 和 late_start。

core:启动后一直不会关闭。

main:关闭,然后在用户输入磁盘密码后会重启。

late_start:在 /data 未解密并装载之前,一直不会启动。

为了触发这些操作,vold.decrypt 属性会被设为多种字符串。要结束和重启服务,请使用以下 init 命令:

class_reset:停止相应服务,但允许通过 class_start 重启该服务。

class_start:重启相应服务。

class_stop:停止相应服务并添加 SVC_DISABLED 标记。被停止的服务不会对。

class_start 做出响应。

加密流程和启动流程

使用 forceencrypt 加密新设备

这是 Android 5.0 设备首次启动时的常规流程。

检测带有 forceencrypt 标记的未加密文件系统

/data 未加密,但需要加密,因为 forceencrypt 强制要求进行此项加密。卸载 /data。

开始加密 /data

vold.decrypt = “trigger_encryption” 会触发 init.rc,从而使 vold 对 /data 进行无密码加密。(因为这应该是新设备,还没有设置密码。)

装载 tmpfs

vold 会装载一个 tmpfs /data(使用 ro.crypto.tmpfs_options 中的 tmpfs 选项),并会将 vold.encrypt_progress 属性设为 0。 vold 会准备 tmpfs /data 以便启动已加密的系统,并会将 vold.decrypt 属性设为 trigger_restart_min_framework

启动框架以显示进度

由于设备上几乎没有要加密的数据,加密过程很快就会完成,因此实际上通常并不会显示进度条。如需关于进度界面的更多详细信息,请参阅加密现有设备。

/data 加密后,关闭框架

vold 会将 vold.decrypt 设为 trigger_default_encryption,这会启动 defaultcrypto 服务。(这会启动以下流程来装载默认的已加密用户数据。)trigger_default_encryption 会检查加密类型,以了解 /data 加密是否使用了密码。由于 Android 5.0 设备是在首次启动时加密,应该没有设置任何密码,因此我们要解密并装载 /data。

装载 /data

接下来,init 会使用从 ro.crypto.tmpfs_options(在 init.rc 中设置)中选取的参数在 tmpfs RAMDisk 中装载 /data。

启动框架

将 vold 设为 trigger_restart_framework,这会继续常规启动过程。

启动未进行默认加密的已加密设备

当您启动设有密码的已加密设备时,则会发生该流程。设备的密码可以是 PIN 码、解锁图案或密码。

检测设有密码的已加密设备

会发现 Android 设备已加密,因为设置了 ro.crypto.state = “encrypted” 标记

由于 /data 是使用密码加密的,因此 vold 会将 vold.decrypt 设为 trigger_restart_min_framework。

装载 tmpfs

init 会设置 5 个属性,以保存为 /data(包含从 init.rc 传入的参数)提供的初始装载选项。 vold 会使用这些属性来设置加密映射:

ro.crypto.fs_type 
ro.crypto.fs_real_blkdev 
ro.crypto.fs_mnt_point 
ro.crypto.fs_options 
ro.crypto.fs_flags (ASCII 码 8 位十六进制数字,以 0x 开头)

启动框架以提示输入密码

框架会启动并看到 vold.decrypt 已设为 trigger_restart_min_framework。这让框架知道自己是在 tmpfs /data 磁盘中启动的,并且需要获取用户密码。

不过,它首先需要确认磁盘是否已经过适当加密。它会向 vold 发送 cryptfs cryptocomplete 命令。 如果加密已成功完成,vold 会返回 0;如果发生内部错误,则会返回 -1;如果加密未成功完成,则会返回 -2。vold 通过查看 CRYPTO_ENCRYPTION_IN_PROGRESS 标记的加密元数据来确定应返回的值。如果设置了此标记,则表示加密过程中断了,并且设备上没有可用的数据。如果 vold 返回错误,界面中应显示一条消息,提示用户重新启动设备并将其恢复出厂设置,并且界面中应为用户提供一个用于执行该操作的按钮。

通过密码解密数据

cryptfs cryptocomplete 成功后,框架会显示一个界面,提示用户输入磁盘密码。界面会向 vold 发送 cryptfs checkpw 命令来检查用户输入的密码。如果密码正确(通过以下方式判定:在临时位置成功装载已解密的 /data,然后将其卸载),vold 会将已解密块设备的名称保存在 ro.crypto.fs_crypto_blkdev 属性中,并向界面返回状态 0。如果密码不正确,则向界面返回 -1。

停止框架

界面会显示加密启动图形,然后使用 cryptfs restart 命令调用 vold。vold 会将 vold.decrypt 属性设为 trigger_reset_main,这会使 init.rc 执行 class_reset main 命令。此命令会停止 main 类中的所有服务,以便卸载 tmpfs /data。

装载 /data

然后,vold 会装载已解密的实际 /data 分区,并准备新的分区(如果加密时采用了首次发布不支持的数据清除选项,则可能永远无法准备就绪)。它会将 vold.post_fs_data_done 属性设为 0,接着将 vold.decrypt 设为 trigger_post_fs_data。这会使 init.rc 运行其 post-fs-data 命令。这些命令会创建所有必要的目录或链接,然后将 vold.post_fs_data_done 设为 1。当 vold 看到该属性中的 1 时,会将 vold.decrypt 属性设为 trigger_restart_framework。这会使 init.rc 再次启动 main 类中的服务,并启动 late_start 类中的服务(这是设备启动后首次启动这些服务)。

启动整个框架

现在,框架会使用已解密的 /data 文件系统启动其所有服务,接下来系统就可以使用了。

代码解读

结合上章节的流程,下面用代码来解析启动未进行默认加密的已加密设备这个流程。

 
  1. # Android fstab file.
  2. #<src> <mnt_point> <type>
  3. ......
  4. /dev/block/platform/soc.0/f9824900.sdhci/by-name/userdata /data ext4 noatime,nosuid,nodev,barrier=1,data=ordered,nomblk_io_submit,noauto_da_alloc,errors=panic wait,check,fileencryption
  5. ......
  6. defaults

这个配置定义在 device/lge/bullhead/fstab_fbe.bullhead 文件中。

如上面的代码,在 /data 的末尾加上 fileencryption,便会进行全盘加密。

步骤1:检测设有密码的已加密设备

 
  1. //设置ro.crypto.state标记,手机已被用户加密
  2. static int do_mount_all(const std::vector<std::string>& args)
  3. ......
  4. if (ret == FS_MGR_MNTALL_DEV_NEEDS_ENCRYPTION)
  5. ActionManager::GetInstance().QueueEventTrigger("encrypt");
  6. else if (ret == FS_MGR_MNTALL_DEV_MIGHT_BE_ENCRYPTED)
  7. // 全盘加密,ro.crypto.state = encrypted, ro.crypto.type = block
  8. property_set("ro.crypto.state", "encrypted");
  9. property_set("ro.crypto.type", "block");
  10. //发送vdc 命令 defaultcrypto
  11. ActionManager::GetInstance().QueueEventTrigger("defaultcrypto");
  12. ......
  13. else if (ret == FS_MGR_MNTALL_DEV_FILE_ENCRYPTED)
  14. if (e4crypt_install_keyring())
  15. return -1;
  16. property_set("ro.crypto.state", "encrypted");
  17. property_set("ro.crypto.type", "file");
  18. ......
  19. return ret;

这个方法定义在文件 system/core/init/builtins.cpp 中。

 
  1. # One shot invocation to deal with encrypted volume.
  2. # do_mount_all 中写入命令 defaultcrypto,执行 vdc 发送命令 mountdefaultencrypted
  3. on defaultcrypto
  4. exec - root -- /system/bin/vdc --wait cryptfs mountdefaultencrypted
  5. # vold will set vold.decrypt to trigger_restart_framework (default
  6. # encryption) or trigger_restart_min_framework (other encryption)
  7. # One shot invocation to encrypt unencrypted volumes
  8. on encrypt
  9. start surfaceflinger
  10. exec - root -- /system/bin/vdc --wait cryptfs enablecrypto inplace default noui
  11. # vold will set vold.decrypt to trigger_restart_framework (default
  12. # encryption)

这个服务定义在文件 system/vold/vdc.rc 中。

 
  1. int CryptCommandListener::CryptfsCmd::runCommand(SocketClient *cli,
  2. int argc, char **argv)
  3. ......
  4. else if (subcommand == "mountdefaultencrypted")
  5. ......
  6. //执行cryptfs_mount_default_encrypted
  7. std::thread(&cryptfs_mount_default_encrypted).detach();
  8. ......

这个方法定义在文件 vold/CryptCommandListener.cpp 中。

 
  1. int cryptfs_mount_default_encrypted(void)
  2. int crypt_type = cryptfs_get_password_type();
  3. ......
  4. else if (crypt_type != CRYPT_TYPE_DEFAULT)
  5. SLOGD("Password is not default - "
  6. "starting min framework to prompt");
  7. //不是默认加密, 设置 vold.decrypt = trigger_restart_min_framework
  8. property_set("vold.decrypt", "trigger_restart_min_framework");
  9. return 0;
  10. else if (cryptfs_check_passwd(DEFAULT_PASSWORD) == 0)
  11. ......

这个方法定义在文件 system/vold/cryptfs.c 中。

 
  1. #属性vold.decrypt==trigger_restart_min_framework 时执行
  2. on property:vold.decrypt=trigger_restart_min_framework
  3. # A/B update verifier that marks a successful boot.
  4. exec - root -- /system/bin/update_verifier trigger_restart_min_framework
  5. class_start main

这个服务定义在服务 system/core/rootdir/init.rc 中。

class_start main 可知重启 main 类别的服务。main 类别的服务包括:

会重启 zygote。

步骤2:装载 tmpfs

Zygote 启动后,会 fork() system_process 进程,就是运行 SystemServer 代码了。但是 system_process 的运行需要正常的用户空间(/data),所以,需要临时挂载 tmpfs 分区,这个分区是在内存里分配的临时空间。

 
  1. int CommandListener::StorageCmd::runCommand(SocketClient *cli,
  2. int argc, char **argv)
  3. ......
  4. if (!strcmp(argv[1], "mountall"))
  5. if (argc != 2)
  6. cli->sendMsg(ResponseCode::CommandSyntaxError, "Usage: mountall", false);
  7. return 0;
  8. // 挂载所有设备
  9. fs_mgr_mount_all(fstab);
  10. cli->sendMsg(ResponseCode::CommandOkay, "Mountall ran successfully", false);
  11. return 0;

这个方法定义在文件 system/vold/CommandListener.cpp 中。

 
  1. int fs_mgr_mount_all(struct fstab *fstab)
  2. ......
  3. /* mount(2) returned an error, handle the encryptable/formattable case */
  4. bool wiped = partition_wiped(fstab->recs[top_idx].blk_device);
  5. //挂载 tmpfs 临时分区
  6. if (fs_mgr_do_tmpfs_mount(fstab->recs[attempted_idx].mount_point) < 0)
  7. ++error_count;
  8. continue;
  9. //全盘加密
  10. encryptable = FS_MGR_MNTALL_DEV_MIGHT_BE_ENCRYPTED;
  11. ......

这个方法定义在文件 system/core/fs_mgr/fs_mgr.c 中。

步骤3:启动框架以提示输入密码

 
  1. private void startBootstrapServices()
  2. // Only run "core" apps if we're encrypting the device.
  3. //启动min-framework 显示密码输入界面,仅启动 coreApp, 在AndroidManifest.xml中声明。
  4. //此时启动的 APP 在 tmpfs 临时分区,所以,所有app都是原始安装状态,不包含任何用户使用产生的数据。
  5. String cryptState = SystemProperties.get("vold.decrypt");
  6. if (ENCRYPTING_STATE.equals(cryptState))
  7. Slog.w(TAG, "Detected encryption in progress - only parsing core apps");
  8. mOnlyCore = true;
  9. else if (ENCRYPTED_STATE.equals(cryptState))
  10. Slog.w(TAG, "Device encrypted - only parsing core apps");
  11. mOnlyCore = true;
  12. ......
  13. mPackageManagerService = PackageManagerService.main(mSystemContext, installer,
  14. mFactoryTestMode != FactoryTest.FACTORY_TEST_OFF, mOnlyCore);
  15. ......

这个方法定义在文件frameworks/base/services/java/com/android/server/SystemServer.java 中。

 
  1. private PackageParser.Package scanPackageLI(File scanFile, int parseFlags, int scanFlags,
  2. long currentTime, UserHandle user) throws PackageManagerException
  3. if (DEBUG_INSTALL) Slog.d(TAG, "Parsing: " + scanFile);
  4. PackageParser pp = new PackageParser();
  5. pp.setSeparateProcesses(mSeparateProcesses);
  6. // 设置仅解析 core app only,
  7. pp.setOnlyCoreApps(mOnlyCore);
  8. .....

这个方法定义在文件 frameworks/base/services/core/java/com/android/server/pm/PackageManagerService.java 中

 
  1. private Package parseClusterPackage(File packageDir, int flags) throws PackageParserException
  2. final PackageLite lite = parseClusterPackageLite(packageDir, 0);
  3. // 如果不是 !lite.coreApp, 跳过该 app,即启动时,不会安装该app
  4. if (mOnlyCoreApps && !lite.coreApp)
  5. throw new PackageParserException(INSTALL_PARSE_FAILED_MANIFEST_MALFORMED,
  6. "Not a coreApp: " + packageDir);

这个方法定义在文件 frameworks/base/core/java/android/content/pm/PackageParser.java 中。

安卓中定义为 coreApp 的应用有:

Framework-res.apk 的 manifest 配置文件如下:

 

步骤4:通过密码解密数据

这个过程不再阐述。

步骤5:停止框架

  1. #重启 main 类别服务
  2. on property:vold.decrypt=trigger_reset_main
  3. class_reset main

这个 setion 定义在文件 system/core/rootdir/init.rc 中。

步骤6:装载 /data

  1. static int do_mount_all(const std::vector<std::string>& args)
  2. pid_t pid;
  3. .....
  4. //
  5. if (ret == FS_MGR_MNTALL_DEV_NEEDS_ENCRYPTION)
  6. // 发送 encrypt 事件到 vdc
  7. ActionManager::GetInstance().QueueEventTrigger("encrypt");
  8. else if
  9. .....

这个方法定义在文件 system/core/init/builtins.cpp 中。

 
  1. on encrypt
  2. start surfaceflinger
  3. exec - root -- /system/bin/vdc --wait cryptfs enablecrypto inplace default noui
  4. # vold will set vold.decrypt to trigger_restart_framework (default
  5. # encryption)

这个 setion 定义在文件 system/vold/vdc.rc 中。

 
  1. on encrypt
  2. start surfaceflinger
  3. #发送命令 enablecrypto 到 vold
  4. exec - root -- /system/bin/vdc --wait cryptfs enablecrypto inplace default noui
  5. # vold will set vold.decrypt to trigger_restart_framework (default
  6. # encryption)

这个 setion 定义在文件 system/vold/vdc.rc 中。

 
  1. int CryptCommandListener::CryptfsCmd::runCommand(SocketClient *cli,
  2. int argc, char **argv)
  3. else if (subcommand == "cryptocomplete")
  4. if (!check_argc(cli, subcommand, argc, 2, "")) return 0;
  5. dumpArgs(argc, argv, -1);
  6. rc = cryptfs_crypto_complete();
  7. // 命令是 enablecrypto
  8. else if (subcommand == "enablecrypto")
  9. .....
  10. // Spawn as thread so init can issue commands back to vold without
  11. // causing deadlock, usually as a result of prep_data_fs.
  12. char* arg2 = argc > 2 ? strdup(argv[2]) : NULL;
  13. char* arg4 = argc > 4 ? strdup(argv[4]) : NULL;
  14. // 执行 do_enablecrypto 方法
  15. std::thread(&do_enablecrypto, arg2, arg4, type, no_ui).detach();

这个方法定义在文件 system/vold/CryptCommandListener.cpp 中。

 
  1. static int do_enablecrypto(char* arg2, char* arg4, int type, bool no_ui)
  2. int rc;
  3. int tries;
  4. for (tries = 0; tries < 2; ++tries)
  5. // 不是默认加密,运行方法 cryptfs_enable()
  6. if (type == CRYPT_TYPE_DEFAULT)
  7. rc = cryptfs_enable_default(arg2, no_ui);
  8. else
  9. rc = cryptfs_enable(arg2, type, arg4, no_ui);
  10. .....
  11. return -1;

这个方法定义在文件 system/vold/CryptCommandListener.cpp 中。

 
  1. int cryptfs_enable(char *howarg, int type, char *passwd, int no_ui)
  2. return cryptfs_enable_internal(howarg, type, passwd, no_ui);

这个方法定义在文件 system/vold/cryptfs.c 中。

 
  1. int cryptfs_enable_internal(char *howarg, int crypt_type, char *passwd,
  2. int no_ui)
  3. /* restart the framework. */
  4. /* Create necessary paths on /data */
  5. if (prep_data_fs())
  6. goto error_shutting_down;

这个方法定义在文件 system/vold/cryptfs.c 中。

 
  1. static int prep_data_fs(void)
  2. property_set("vold.post_fs_data_done", "0");
  3. // 设置 vold.decrypt = trigger_post_fs_data,触发 init.rc
  4. property_set("vold.decrypt", "trigger_post_fs_data");
  5. SLOGD("Just triggered post_fs_data\\n");
  6. /* Wait a max of 50 seconds, hopefully it takes much less */
  7. for (i=0; i<DATA_PREP_TIMEOUT; i++)
  8. char p[PROPERTY_VALUE_MAX];
  9. // 等待 init 设置 vold.post_fs_data_done = 1
  10. property_get("vold.post_fs_data_done", p, "0");
  11. if (*p == '1')
  12. break;
  13. else
  14. usleep(50000);

这个方法定义在文件 system/vold/cryptfs.c 中。

on property:vold.decrypt=trigger_post_fs_data
trigger post-fs-data

这个 setion 定义在文件 system/core/rootdir/init.rc 中。

 
  1. #创建/data 子目录和链接,启动服务
  2. on post-fs-data
  3. # We chown/chmod /data again so because mount is run as root + defaults
  4. chown system system /data
  5. chmod 0771 /data
  6. # We restorecon /data in case the userdata partition has been reset.
  7. restorecon /data
  8. # start debuggerd to make debugging early-boot crashes easier.
  9. start debuggerd
  10. start debuggerd64
  11. #task4597305 added by xiwu.peng to output logcat to uart
  12. start logcat2uart
  13. # Make sure we have the device encryption key.
  14. start vold
  15. installkey /data
  16. # Start bootcharting as soon as possible after the data partition is
  17. # mounted to collect more data.
  18. mkdir /data/bootchart 0755 shell shell
  19. bootchart_init
  20. .....
  21. mkdir /data/system_de 0770 system system
  22. mkdir /data/system_ce 0770 system system
  23. mkdir /data/misc_de 01771 system misc
  24. mkdir /data/misc_ce 01771 system misc
  25. mkdir /data/user 0711 system system
  26. mkdir /data/user_de 0711 system system
  27. symlink /data/data /data/user/0
  28. mkdir /data/media 0770 media_rw media_rw
  29. mkdir /data/media/obb 0770 media_rw media_rw
  30. init_user0
  31. # If there is no fs-post-data action in the init.<device>.rc file, you
  32. # must uncomment this line, otherwise encrypted filesystems
  33. # won't work.
  34. # Set indication (checked by vold) that we have finished this action
  35. #setprop vold.post_fs_data_done 1

这个 setion 定义在文件 system/core/rootdir/init.rc 中。

 
  1. static int cryptfs_restart_internal(int restart_main)
  2. // init 做完 post-fs-data,继续往下执行代码
  3. if (prep_data_fs())
  4. return -1;
  5. //init 做完 post-fs-data, vold 将 vold.decrypt 设为 trigger_restart_framework, 触发init
  6. /* startup service classes main and late_start */
  7. property_set("vold.decrypt", "trigger_restart_framework");

这个方法定义在文件 system/vold/cryptfs.c 中。

 
  1. #重启所有服务
  2. on property:vold.decrypt=trigger_restart_framework
  3. # A/B update verifier that marks a successful boot.
  4. exec - root -- /system/bin/update_verifier trigger_restart_framework
  5. class_start main
  6. class_start late_start

步骤7:启动整个框架

vold.decrypt = trigger_restart_framework, framework 就可以正常启动了。

加密属性

vold 和 init 之间通过设置属性进行通信。下面列出了可用的加密属性。

vold 属性

属性 说明

vold.decrypt trigger_encryption 以无密码方式加密存储卷。

vold.decrypt trigger_default_encryption 检查存储卷是否采用了无密码加密。如果是,则解密并装载存储卷;如果不是,则将 vold.decrypt 设为 trigger_restart_min_framework。

vold.decrypt trigger_reset_main 由 vold 设置,用于关闭提示输入磁盘密码的界面。

以上是关于Android加密之全盘加密详解的主要内容,如果未能解决你的问题,请参考以下文章

Android加密之全盘加密详解

google 为啥android 全盘加密

android 取消系统默认手机加密(全盘加密)

Linux下如何进行全盘加密?(包括根分区)

[RK3568][Android11]FDE(全磁盘加密)FBE(全文件加密)简介

[RK3568][Android11]FDE(全磁盘加密)FBE(全文件加密)简介