Ssh
遠端解鎖硬體磁碟加密
我正在為客戶端設置遠端伺服器，他們的主要要求是在引導分區之外加密數據。主系統將位於主驅動器上的 dm-crypt LUKS 容器中，但由於核心可能在清除引導分區以擷取密鑰的情況下被惡意替換，因此也需要保護。
為了解決這個問題，我能想到的唯一選擇是內置硬體加密的驅動器，並通過 IPMI 介面遠端解鎖。這樣做的問題是，每月費用的預算已經被批准用於一個 IP 地址，這意味著如果沒有昂貴的物理訪問行程，或者與項目經理進行更昂貴的會話，就無法輕鬆連接到 IPMI 介面。增加幾塊錢的預算。
我希望找到的是一個驅動解決方案，其中包括一個可以引導到的韌體，通過 SSH 或 HTTPS 連接，解鎖加密數據並鍊式載入引導載入程序，其中將包括一個將主 LUKS 陣列作為根載入的核心分割。介面可以是 USB 或 SATA，甚至是 PCI-E。
我願意接受其他建議，因為這是我自己能想到的唯一可用選項；我只是找不到任何類似的解決方案，也找不到要搜尋的術語。
我認為邁克爾有正確的答案。我完全理解你來自哪裡，但假設客戶的愚蠢不是你的工作 - 大多數客戶都有足夠的供應。推薦正確的東西，讓他們以成本為由拒絕它。保留書面記錄。
然後，如果他們堅持零成本選項，您可以考慮在分區解鎖後立即
tripwire使用該安全分區檢查系統完整性。您可以對二進製文件和簽名文件充滿信心，因為它們位於加密分區上。有了這些，您可以對未加密分區的內容以及其中的核心和庫有一定的信心。tripwire它並不完美，但比不檢查未加密分區要安全得多；如果某些事情確實變成了梨形，那麼您將為他們提供做得更好的機會，並被拒絕。