保护(加密)系统免受双根访问

Question

我计划向多个用户提供一个Linux设备。这些用户精通技术，可以轻松地在标准linux系统上重置根密码。

我如何创建一个正在运行的Linux系统，即使根用户一旦受到保护，也不会出现在文件系统之外？(我看过像LUKS这样的磁盘加密，但在任何情况下根用户都可以访问自动分区)。

我该如何解决这个问题？堆栈交换问题(如这 )假设攻击者没有根访问权限，但通过引导进入单个用户/恢复模式似乎很容易重置根密码。

我读过关于LUKS的文章，但是FDE需要将密钥文件滚动到initramfs中(如这里所示)，但是我认为您可以轻松地展开initramfs并提取密钥。所以我不认为这能解决问题

Answer 1

我找到了答案:用LUKS加密整个磁盘，然后将密钥存储在系统TPM中。这样，整个磁盘都是加密的，最终用户无法从TPM...very安全中提取密钥：

有TPM的LUKS

Answer 2

不，用全磁盘加密(FDE)在PC上重置根密码是不可能的。

本教程链接在您添加的答案中，讨论了一些非系统驱动器的自动生成。对于FDE，/下面的所有内容都是加密的，包括/root/keyfile。

如果出于方便的原因，将密钥文件放到非加密分区(例如/boot)上，您的朋友将能够读取该文件，所以不要这样做。

阅读：

• Ubuntu的默认全磁盘加密有多安全？
• 加密的LUKS文件系统有多安全？

关于您的评论中添加的内容：

“此设备将在没有用户干预的情况下启动和运行”：

不允许不受信任的用户引导您的计算机。如果用户可以从加密的硬盘启动，他们要么知道密码，要么有一个未加密的密钥文件进行加密，然后他们可以对计算机做他们想做的任何事情。

保持计算机引导，或者有一些可信的用户被允许引导。