История изменений
Исправление hope13, (текущая версия) :
Есть несколько вариантов:
1) Если есть IP KVM то можно использовать любое полное шифрование диска(хоть «желзное» или программное). Например mandos (https://wiki.recompile.se/wiki/Mandos).
2) Использовать виртуализацию и шифровать уже гостя.
3) Если хочешь шифровать уже настроенный сервер, то лучше всего шифровать логический раздел с помощью LUKS.
В любом случае(даже 1), 2)) у тебя будет по крайней мере не зашифровано: mbr, initrd и ядро. Это значит, что всё это дело можно будет протроянить.
А если пароль будет «рядом» с сервером, то смысла от него не будет.
Mandos тут может помочь, но для него нужен отдельный mandos server. Клиент и сервер обмениваются парай ключей через ssl соединение(все находится в initrd). Если сервер не отвечает или клиент не ответил на запрос серверу за определённый отрезок времени, то сервер будет игнорировать все будущие сигналы клиента для этой пары ключей и зашифрованный клиент превратится в кирпич. Т.е. если кто-то с физическим доступом к серверу отредактирует initrd и перезагрузит сервер сделав это недостаточно быстро доступа к зашифрованной информации не получит.
Исходная версия hope13, :
Есть несколько вариантов:
1) Если есть IP KVM то можно использовать любое полное шифрование диска(хоть «желзное» или программное). Например mandos (https://wiki.recompile.se/wiki/Mandos).
2) Использовать виртуализацию и шифровать уже гостя.
3) Если хочешь шифровать уже настроенный сервер, то лучше всего шифровать логический раздел с помощью LUKS.
В любом случае(даже 1), 2)) у тебя будет по крайней мере не зашифровано: mbr, initrd и ядро. Это значит, что всё это дело можно будет протроянить.
А если пароль будет «рядом» с сервером, то смысла от него не будет.
Mandos тут может помочь, но для него нужен отдельный mandos server. Клиент и сервер обмениваются парай ключей через ssl соединение(все находится в initrd). Если сервер не отвечает или клиент не ответил не ответил на запрос серверу, то сервер будет игнорировать все будущие сигналы клиента для этой пары ключей и зашифрованный клиент превратится в кирпич. Т.е. если кто-то с физическим доступом к серверу отредактирует initrd и перезагрузит сервер сделав это недостаточно быстро доступа к зашифрованной информации не получит.