arch установка с lvm, luks два диска

Я не вижу особых проблем с расшифровкой по цепочке.
Если имеется root-доступ к работающей машине и есть возможность прочитать ключ, то полнодисковое шифрование уже не создаёт никаких препятствий.

И тут я смутился, как-то это не правильно. Не важно как, ключ могут «стырить» и грошь цена тогда всему шифрованию.

Да, тут идея в том, что ключ от /home хранится на /, который сам по себе зашифрован.

это-то понятно, просто куча софта крутится не иначе как по рутом, и от уязвимостей никто не застрахован.

Если я не ошибаюсь в федоре все диски шифруются одним паролем при установке, потом при вводе этого одного пароля открываются все luks'ы. Там наверное свой загрузчик.

Если атакующий получит на твоей машине рута, он с тем же успехом сможет вытащить из памяти мастер-ключ. Шифрованию тут в любом случае хана.

это-то понятно, просто куча софта крутится не иначе как по рутом, и от уязвимостей никто не застрахован.

Шифрование при уже открытом разделе, от «уязвимостей» работающих от рута никак не спасет. Без разницы ввели вы пароль руками или нет. Оно нужно только для случаев, утащили/пролюбили системник/ноут/харды/etc.

Оно нужно только для случаев, утащили/пролюбили системник/ноут/харды/etc.

По этой причине, как мне кажется, полнодисковое и per-directory шифрование — это почти не конкурирующие и не взаимоисключающие друг друга вещи.

Если нужно не доверять отдельным компонентам системы, то тут прямая дорога в клиенты encfs или шифрования, которое подвезли в ext4.

Если нужно не доверять отдельным компонентам системы...

Пока «рут» остается «рутом», пофиг, не спасет на случай если уже смонтировано.

Пока «рут» остается «рутом», пофиг, не спасет на случай если уже смонтировано.

Это не так. В такой конфигурации ключи могут никогда не передаваться на сервер.

Хранилище уже смонтировано, руту не нужны ключи у него есть доступ к файлам, я об этом.

Это если смонтировано на скомпрометированной машине.
А если удалённо, то всё что видит владелец хранилища, это зашифрованные потоки.

И даже в первом случае пока данные холодные, нужно ждать владельца с ключом, а он может что-то заподозрить и не прийти.

Это если смонтировано на скомпрометированной машине.

Я только об этом.

И даже в первом случае пока данные холодные, нужно ждать владельца с ключом, а он может что-то заподозрить и не прийти.

Может да, а может и нет. На ромашке гадать нет смысла, если система на которой монтируеться уже стала уязвима.