加密客户VM映像的不同方法之间的安全权衡是什么？

Question

该方案是一个安全度较低的家庭或工作PC，主要用于低敏感操作。对于更安全的活动，将使用预先构建的限制性虚拟机。

我最关心的是在VM关闭时，通过未经授权/无人值守的方式对主机进行数据窃取和/或修改。

为了减轻影响，我想对VM映像进行加密，似乎有三种一般选择：

1. 使用VeraCrypt或其他动态加密包来加密将存储来宾VDI的分区或文件夹。
2. 使用VirtualBox或VMWare的内置加密来加密来宾映像。
3. 在客户操作系统中使用全磁盘加密(例如，用于来宾Linux的LUKS或用于来宾Windows的BitLocker )

这三者之间的安全因素或权衡是什么？一个人是否比其他人更安全或更受考验？

似乎1和2可能是同一回事。我知道VeraCrypt已经被审计过，LUKS看起来测试得很好，但是不确定VM软件中的加密构建。

注：这个答案适用于类似的问题，但答案并不涉及三种选择之间的权衡。

Answer 1

你的心态是颠倒的。在一个虚拟机管理程序场景中，您希望同时使用主机和来宾(S)作为可用的机器，最安全的‘机器’必须是主机。

要想把这一点讲清楚：

• 如果您的“更安全”的VM是一位客人，并且您使用主机上网冲浪，那么您的“不太安全”的互联网冲浪主机的任何妥协都可以自动访问任何和所有的客人。仅在VM脱机时加密VM磁盘才能保护磁盘，并且假定攻击者不知道如何从内存中提取密钥(因为他们将从主机攻击到来宾)，因此他们可以访问这些密钥。
• 如果您的“更安全”的机器是主机，并且您从客人那里浏览互联网，那么攻击者将不得不通过网络或系统管理程序进行攻击--这两者都比拥有操纵VM硬件的隐式权限要困难得多。

虽然这并不能直接回答您的问题，但是如果您选择翻转您正在选择的路径，只需对主机的硬盘驱动器进行加密，所有其他驱动器就会自动包含在内(假设它们都位于同一个磁盘上)。