Evitar a infecção do GRUB que iria quebrar meu linux criptografado

Question

Eu tenho uma partição não criptografada / boot com o GRUB e uma partição criptografada, onde meu Linux está localizado. Um invasor, que queira ler minha partição criptografada, pode obter acesso físico ao meu computador e modificar o GRUB não criptografado de forma que, quando eu iniciar meu Linux na próxima vez e digitar minha senha de criptografia, a senha seja enviada diretamente para o computador. Internet ou, pelo menos, armazenados não criptografados em disco.

Uma maneira que eu pensei, como eu poderia proteger contra tal ataque: Antes de iniciar o computador, eu poderia inicializar a partir de uma unidade USB e verificar a integridade do GRUB. No entanto, isso não é tão simples porque o GRUB muda de tempos em tempos e, portanto, não posso simplesmente calcular um hash da partição do GRUB.

Alguém pode fornecer outras ideias?

    

Answer 1

Você pode instalar os arquivos de inicialização na unidade USB e usá-los para inicialização regular toda vez. Isso permitiria que você tivesse o disco completo criptografado.

A unidade USB pode ser desmontada depois que o kernel é carregado. Ele precisaria ser montado somente durante as atualizações do kernel (novo kernel instalado na unidade) ou alterações de configuração de inicialização. Alternativamente, você poderia manter uma partição de inicialização criptografada em seu sistema que você sincroniza manualmente com o disco USB. Isso também permitiria uma recuperação fácil caso a unidade USB seja danificada ou perdida.

    

Answer 2

Se você está principalmente interessado em proteger os dados armazenados em arquivos, então por que instalar um sistema operacional no seu computador?

Você pode simplesmente inicializar o PC a partir de uma unidade USB com uma boa imagem conhecida e descriptografar os arquivos quando necessário, montando a partição criptografada após a inicialização.

Se você está tentando proteger sua atividade no PC, talvez a segurança de rede robusta seja uma camada adicional de defesa que você precisa considerar. Se você mantiver uma política de firewall de saída bem gerenciada em um dispositivo upstream em sua rede, as chances de seu computador ser infectado e de telefonar para casa ficarão muito reduzidas.

De qualquer forma, defina seus objetivos reais de segurança e pense em profundidade. Não se concentre apenas em uma estratégia de segurança, criptografia, por exemplo, e espere que isso mitigue todos os possíveis problemas de segurança.