У меня есть несколько жестких дисков, которые должны быть зашифрованы одним и тем же ключевым файлом или парольной фразой. Вот что я планировал в качестве подхода: я шифрую каждый жесткий диск с помощью LUKS / cryptsetup и выбираю ключевой файл. Этот ключевой файл должен быть зашифрован парольной фразой (с использованием gpg).
Возникает вопрос: где мне хранить незашифрованный ключевой файл, чтобы LUKS мог его использовать?
Итак, поскольку любое программное обеспечение для шифрования хранит свои ключи в ОЗУ, я решил: почему бы не сохранить мой ключевой файл на виртуальном диске (примечание: я не хочу использовать tempfs поскольку его можно поменять местами). Таким образом, всякий раз, когда я хочу смонтировать мои зашифрованные диски, я загружаю файл ключей в ОЗУ (используя виртуальный диск), а затем использую этот файл ключей для монтирования всех дисков.
При любом отключении системы / отключении питания применяются только те же риски, которые применяются и к фактическим ключам: обычные атаки ОЗУ.
Итак, мой вопрос: вы видите какие-либо проблемы безопасности, связанные с этим сценарием?
Заметки:
Я знаю о рисках, связанных с использованием одной парольной фразы для всего, но я хочу найти здесь компромисс между безопасностью и функциональностью. Кроме того, все диски, расшифрованные таким образом, будут LVM-дисками, которые в любом случае будут объединены в один большой раздел, поэтому, если один диск будет расшифрован, я не могу полагаться на данные, хранящиеся на других, в целях безопасности (поскольку они могут быть незащищенными).
Кроме того, устройство должно специально не получить монтируется автоматически при загрузке, так как это безголовый машин. Он будет работать большую часть времени, но монтирование должно происходить только по запросу.
Я знаю большинство рисков, которые связаны теоретически, и я думаю, что я принял меры предосторожности, насколько это возможно в моем сценарии, так что этот вопрос реальный, скорее технический вопрос, чем теоретический, хотя комментарии / критика этого подхода приветствуются, если вы принимаете во внимание мои заметки.