あなたがシステム上の単一のユーザーであり、誰もあなたの許可なしにあなたのコンピューターに合理的にアクセスできない場合、Zannaの答えに従って、このコマンドを使用してアクセスをブロックすることができます：
sudo chown root:root /my/secret/file.txt
sudo chmod 600 /my/secret/file.txt
この場合、ファイルはユーザーのみが読み書きできrootます。これは、だれもあなたの許可なしにコンピュータを起動できないか、ハードドライブを持ち上げることができない場合、「十分に安全」と見なされます。私たちは、使用しているrootので、この場合には、ユーザーをrootユーザーが常にファイルを読み込むことができ、彼らが権限を持っていない場合でも、。ルートユーザーを使用することにより、1人のユーザーのみがアクセスできるように強制します。
何らかの方法、形状、またはフォームでファイルを変更不可としてマークする場合は、i属性を使用してファイルを不変としてマークできます。この場合、ファイルの権限はロックされており、いかなる状況でも変更されない可能性があります。これにより、次のコマンドを実行してファイルを変更不可にし、削除や権限の変更からファイルを保護できます。
sudo chattr +i /my/secret/file.txt
あなたはそれを変更したい場合は、交換する+iとし-i、一時的にファイルのロックを解除します。より詳細なビューについては、Rinzwindの回答を参照してください。
これで、他の人があなたのコンピューターにアクセスできる場合（リモートsudoアクセスまたは何らかの形の物理的アクセス）、これは即座にバラバラになります。攻撃者は、root電源を使用してファイルを読み取ったり、ライブUSBを挿入したり、ハードドライブを引っ張ったりすることができます。
したがって、ファイルを暗号化する必要があります。個人的には「ファイルコンテナ」を使用することを好みます。そうすれば、さらにファイルを使い続けて、必要に応じて成長させることができます。chattr +iファイルが誤って削除（または変更）されないように、引き続きお勧めします。最後に、暗号化されたイメージを使用している場合、アクセス許可を設定して、ディスクがマウントされているときに他のユーザーが非常に限られたファイルのサブセットにアクセスできるようにすることができます。このガイドはもともとここから入手でき、ここでの使用に適しています。
まず、使用するディスクイメージを作成します。この例では、5 GBにします。
dd if=/dev/zero bs=1M count=5000 of=~/NSA-Data-Dump-20161012.img
次に、画像を暗号化する必要があります。
sudo cryptsetup luksFormat ~/NSA-Data-Dump-20161012.img
ここで、希望する暗号化パスワードを入力する選択肢があります。これが完了したら、rawブロックデバイスを公開する必要があります。
sudo cryptsetup luksOpen ~/NSA-Data-Dump-20161012.img my-secret-device
現時点では、復号化されたファイルコンテナーがありますが、ファイルシステムはなく、役に立たないほど優れています。それを修正しましょう：
sudo mkfs.ext4 /dev/mapper/my-secret-device
次に、新しいパーティションをマウントする場所が必要です。この場合は、に配置します/crypt。私はユーザー1000であるため、自分（およびルート）からの読み取り/書き込みのみを許可するようにパーティションを設定します。
sudo mkdir /crypt
sudo mount /dev/mapper/my-secret-device /crypt -o umask=0700,gid=1000,uid=1000
これで、ファイルツールを使用して移動し/crypt、すべての機密ファイルをそこに保存できます。完了したら、パーティションをアンマウントして再暗号化する必要があります。
sudo umount /crypt
sudo cryptsetup luksClose my-secret-device
次に、イメージファイルに適切なパーティションを設定して、自分とrootだけがアクセスできるようにし、それ以上変更できないようにします。
chmod 400 ~/NSA-Data-Dump-20161012.img
sudo chattr +i ~/NSA-Data-Dump-20161012.img
このファイルを読み取り用に開きたいときはいつでも、次の2つのコマンドを実行するだけでよく、簡単にエイリアスを作成できます。
sudo cryptsetup luksOpen ~/NSA-Data-Dump-20161012.img my-secret-device
sudo mount /dev/mapper/my-secret-device /crypt -o umask=0700,gid=1000,uid=1000,ro
暗号化されたデータはで利用可能で/cryptあり、読み取り専用のままであり、自分とrootのみがアクセスできます。
ファイルを変更する場合は、アクセス許可を変更してからマウントする必要があります。
sudo chattr -i ~/NSA-Data-Dump-20161012.img
chmod 700 ~/NSA-Data-Dump-20161012.img
sudo cryptsetup luksOpen ~/NSA-Data-Dump-20161012.img my-secret-device
sudo mount /dev/mapper/my-secret-device /crypt -o umask=0700,gid=1000,uid=1000,ro
ここで、ユーザーが自分のシステムにrootを持っている場合、暗号化されたパーティションを変更/破壊して使用できなくなるため、ここで注意する必要があります。また、ドライブからデータを盗むこともできますが、それは開いているときだけです。ただし、明示的に開かない限り、データを盗んだり、データの存在を確認したりすることはできません。したがって、暗号化されたボリュームを開くときに、rootユーザーがオンラインにならないようにシステムが十分に安全であることを確認するのはあなたの義務です。
TL; DR：
ボールトを作成します。
dd if=/dev/zero bs=1M count=5000 of=~/NSA-Data-Dump-20161012.img
sudo cryptsetup luksOpen ~/NSA-Data-Dump-20161012.img my-secret-device
sudo mkfs.ext4 /dev/mapper/my-secret-device
金庫を満たします：
sudo mkdir /crypt
sudo mount /dev/mapper/my-secret-device /crypt -o umask=0700,gid=1000,uid=1000
ボールトをロックします。
sudo umount /crypt
sudo cryptsetup luksClose my-secret-device
ボールトをフリーズします。
chmod 400 ~/NSA-Data-Dump-20161012.img
sudo chattr +i ~/NSA-Data-Dump-20161012.img
ボールトを開きます。
sudo cryptsetup luksOpen ~/NSA-Data-Dump-20161012.img my-secret-device
sudo mount /dev/mapper/my-secret-device /crypt -o umask=0700,gid=1000,uid=1000,ro
