数据最起码保证被偷了不会泄露。
留 /boot/efi ,把 swap (可以不要),/root ,/data 全加密了。缺点是因为每次开机都要先输入密码,断电恢复自动开机他就卡在这了。
好处是自动开机后我可以 ssh 进来挂载硬盘并启动服务。准备用 veracrypt 。
1
thedrwu 2023-04-18 23:08:27 +08:00 1
断电重启可以在 initrd 里开个 sshd/dropbear 远程 ssh 上来填密码。
|
3
huahsiung 2023-04-23 20:40:14 +08:00
veracrypt 在解密后,会把解密和数据存放在内存里,只要别人没有 memory-dump ,数据就不会泄露。当然,如果在虚拟机使用 veracrypt ,数据没有任何安全性。虚拟机拍一个快照,直接把内存也保存下来了。话说虚拟机也不知道自己被暂停了,对于想解密的人来说,有暂停的快照可以无限分析
|
5
huahsiung 2023-04-23 21:37:11 +08:00
@gant pve 的密码只是访问密码,用 lxc 比 kvm 还好解密。
说个题外话,其实加密后,只要别人没有拿到 root ,是没有权限 dump 所有内存的。如果宿主机失陷,虚拟机 100%失陷。 lxc 的内存和宿主机共享同样区域,只是提供 namespace&cgroups 隔离。有了 root 权限很好 dump 内存,连虚拟机的内存地址计算都不用。veracrypt 在你没有解密的时候,别人基本没法解密。如果你文件解密了,别人还在内存中拿到解密数据了,那么别人 100%解密。 tls 加密也是可以在本机上直接 dump 内存,拿到 aes 对称密钥解密的。 还是要做好本地安全,你看很多机密文件的机房都有重要安保设施。 当然,如果查你服务器文件的人直接把电拔了(内存数据直接消失),取走你的硬盘去解密。如果没有密钥,几乎不可能解密。 |
8
busier 2023-04-26 15:57:40 +08:00
我反正是用 dropbear 挺好的!可以在 Linux 引导过程中通过网络 sshd 输入密码!
我所有的 VPS 也是全盘 luks 加密,只要你网络没问题 dropbear 很稳定! |
10
busier 2023-04-26 17:03:05 +08:00
@gant Linux 引导过程中 initrd 加载的网络支持和 dropbear 开启的 sshd 服务器,监听 22/tcp 。当你输入完系统根目录卷密码,系统继续启动时这个 sshd 进程就会销毁。系统正常启动后由正常的 OpenSSH Server 监听 22/tcp (如果有的话)
正常在有公网 ip 的宽带上做个 22/tcp 端口映射就可以了! 很方便! |
13
elioo 2023-04-27 18:05:13 +08:00 via Android
可以通过一个云服务盐加密
|
14
elioo 2023-04-27 18:05:52 +08:00 via Android
在 http://eliooyang.com 可以购买不同地域服务器云
|