Я ищу прозрачное решение для шифрования полного раздела для системы Linux, которое
- позволяет загружаться без присмотра (перезагрузка, перезагрузка после потери питания и т. д.)
- позволяет сделать раздел постоянно недоступным практически мгновенно, как из самой системы, так и удаленно через ssh, например, путем перезаписи файла парольной фразы, заголовка шифрования, случайных частей файловой системы и т. д.
- относительно прост в настройке и обслуживании.
Система, которую мы используем сейчас, - это стандартная система NixOS, в которой мы запускаем несколько док-контейнеров. Сейчас я думаю оставить корневой раздел незашифрованным и иметь второй зашифрованный раздел данных, смонтированный в /var/lib/docker . LUKS/dm-crypt кажется наиболее простым решением для полноразмерного шифрования. Этот раздел будет автоматически смонтирован с файлом открытого текста, хранящимся в (незашифрованном) корневом разделе.
Поэтому я не очень обеспокоен тем, как защитить систему от кражи или доступа к данным в состоянии покоя, но я хочу иметь возможность быстро сделать весь раздел постоянно недоступным в случае физического нарушения безопасности.
Поэтому я ищу несколько советов о том, как сделать зашифрованный раздел недоступным только с небольшим количеством файловых операций.
- Можно ли каким-либо образом перезаписать файл ключа, что делает его маловероятным, чтобы его можно было восстановить с жесткого диска? Каков был бы наиболее подходящий способ сделать это?
- В качестве альтернативы (или дополнительно), могу ли я надежно перезаписать заголовок раздела или что-то еще, чтобы еще больше снизить вероятность того, что злоумышленник восстановит содержимое раздела?