远程解锁硬件磁盘加密

Question

我正在为客户端设置一个配置的远程服务器，他们的主要要求是在引导分区之外对数据进行加密。主系统将位于主驱动器上的 dm-crypt LUKS 容器中，但由于在清除引导分区以捕获密钥的情况下内核可能被恶意替换，因此它也需要保护。

为了解决这个问题，我能想到的唯一选择是内置硬件加密的驱动器，并通过 IPMI 接口远程解锁它。这样做的问题在于，一个 IP 地址的月度成本预算已经获得批准，这意味着如果不进行昂贵的物理访问，或者与项目经理进行更昂贵的会话，就无法轻松连接到 IPMI 接口。增加几块钱的预算。

我希望找到一个驱动器解决方案，其中包含一个可以引导到的固件，通过 SSH 或 HTTPS 连接，解锁加密数据并链式加载引导加载程序，该引导加载程序将包括一个内核，该内核将主 LUKS 阵列作为根加载划分。接口可以是USB或SATA，甚至PCI-E。

我愿意接受其他建议，因为这是我自己能想到的唯一可行的选择；我只是找不到任何类似的解决方案，或为此搜索的术语。

Answer 1

我认为迈克尔有正确的答案。我完全理解你来自哪里，但假设客户的愚蠢不是你的工作——大多数客户都有足够的供应。推荐正确的东西，让他们以成本为由拒绝它。保留纸质记录。

然后，如果他们坚持零成本选项，您可以考虑在分区解锁后立即使用tripwire来自该安全分区的检查系统完整性。您可以对二进制文件和签名文件充满信心，因为它们位于加密分区上。有了这些，您可以对未加密分区的内容及其上的内核和库有一定的信心。tripwire

它并不完美，但比不检查未加密分区要安全得多；如果事情真的变成梨形，你会给他们机会做得更好，但被拒绝了。