История изменений

Почему нет? Шифрование же просто лишает прочитанные блоки смысла без знания ключа, но не мешает их читать и перезаписывать другими.

Стоп. А вы представляете себе как работает шифрование? Возможности запихнуть вирус или вообще любой файл на зашифрованный диск без знания пароля нет.

Шифрование не мешает перезаписывать и читать зашифрованные сектора диска, но в них содержатся случайные данные. Перезапись сектора при расшифровке даст набор случайных данных. Если в этом секторе хранился файл с ядром, то машина зависнет, если хранился бинарь системного раздела - то он вылетит в сегфолт. С помощью перезаписи секторов нельзя сделать так, чтобы при расшифровке диска там образовался нужный файл с нужным содержанием и в нужном месте.

На том же диске где-то будет лежать код расшифровщика в незашифрованном виде.

Да, в обсуждаемом случае код расшифровщика находится в EFI файле grub на EFI разделе (если основная часть grub вынесена на зашифрованный раздел), или находится в нескольких модулях grub на незашифрованном разделе. Только, как я написал выше, это не поможет - подменить файлы на зашифрованном разделе без знания ключа невозможно, данные можно только «испортить». Это ответ на изначальный комментарий: «Не поможет, злоумышленник может перенести их на незашифрованную часть диска или зашифровать их по-своему и учесть это в коде расшифровки.») - т.е. якобы атакующий может без знания пароля каким-то образом перемещать файлы по диску.

Под Windows существуют буткиты. Некоторые из них даже используются владельцами систем - обход забытого пароля администратора (kon-boot), удалённой блокировки украденных машин (computrace), решения проблем с активацией ОС (slic injectors).

А уж сколько загрузочных вирусов под DOS было.

Задачи на модификацию загрузчиков иногда встречаются в CTF.

Написать windows буткит, который меняет файлы на незашифрованном разделе и внедрить в загрузчик код, который перехватывает ключ и отправляет его куда-то - это разные по сложности задачи. Я сформулирую свою позицию насчёт теоретических угроз так - на данный момент нет известных публичных случаев, когда спецслужба государства (США/Китай/Россия/Белоруссия) или какая-то организация взломали компьютер противника, внедрив код в загрузчик (как в случае полностью незашифрованного загрузчика, так и с помощью частично зашифрованного). Зато если случаи пыток и краж ноутбуков при перелётах. Поэтому с точки зрения практики FDE позволяет отсечь широкий спектр попыток получить доступ к диску, за исключением применения силового способа, от которого нет приёма. А если рассматривать силовой способ, то вообще значения не имеет защита загрузчика.

Предположим, что есть компьютер, где /boot зашифрован, а grubx64.efi - нет. Что помешает злоумышленнику, который вытащил диск из компьютера (и может произвольно его читать/писать), записать на диск любой загрузчик по его выбору с теми модулями, которые ему нравятся? А когда законный владелец компьютера включит его и введёт парольную фразу, расшифровывающую диск, вернуть всё обратно.

В теории - нет. Также как ничто не помешает изменить полностью незашифрованный загрузчик, что упрощает задачу. Однако, этот способ требует серьёзных затрат и усилий - надо написать grubx64.efi так, чтобы не испорить его, надо сохранить где-то пароль, надо внедрить в загрузчик бинарь, который читает сохранённый пароль и отправляет его не сервер. Причём нужно поставить не любой загрузчик с любыми модулями, а именно grub, так как подмена grub на systemd-boot (например) очевидно. В теории если предполагать, что в распоряжении атакующего есть много ресурсов, это реализуемо.

На практике - да, защитит. FDE отсеет мимопроходящих (желающих посмотреть), а у каких-то кулхацкеров им. Kali Linux отпадёт охота ковыряться в grub. Если против вас государство, то оно не будет модифицировать EFI файл, оно вас будет пытать, а в обвинительном заключении напишет, 2+2=17, а кто не согласен - иностранный агент.

Почему нет? Шифрование же просто лишает прочитанные блоки смысла без знания ключа, но не мешает их читать и перезаписывать другими.

Стоп. А вы представляете себе как работает шифрование? Возможности запихнуть вирус или вообще любой файл на зашифрованный диск без знания пароля нет.

Шифрование не мешает перезаписывать и читать зашифрованные сектора диска, но в них содержатся случайные данные. Перезапись сектора при расшифровке даст набор случайных данных. Если в этом секторе хранился файл с ядром, то машина зависнет, если хранился бинарь системного раздела - то он вылетит в сегфолт. С помощью перезаписи секторов нельзя сделать так, чтобы при расшифровке диска там образовался нужный файл с нужным содержанием и в нужном месте.

На том же диске где-то будет лежать код расшифровщика в незашифрованном виде.

Да,в обсуждаемом случае код расшифровщика находится в EFI файле grub на EFI разделе (если основная часть grub вынесена на зашифрованный раздел), или находится в нескольких модулях grub на незашифрованном разделе. Только, как я написал выше, это не поможет - подменить файлы на зашифрованном разделе без знания ключа невозможно, данные можно только «испортить» (это ответ на изначальный комментарий: «Не поможет, злоумышленник может перенести их на незашифрованную часть диска или зашифровать их по-своему и учесть это в коде расшифровки.»).

Под Windows существуют буткиты. Некоторые из них даже используются владельцами систем - обход забытого пароля администратора (kon-boot), удалённой блокировки украденных машин (computrace), решения проблем с активацией ОС (slic injectors).

А уж сколько загрузочных вирусов под DOS было.

Задачи на модификацию загрузчиков иногда встречаются в CTF.

Написать windows буткит, который меняет файлы на незашифрованном разделе и внедрить в загрузчик код, который перехватывает ключ и отправляет его куда-то - это разные по сложности задачи. Я сформулирую свою позицию насчёт теоретических угроз так - на данный момент нет известных публичных случаев, когда спецслужба государства (США/Китай/Россия/Белоруссия) или какая-то организация взломали компьютер противника, внедрив код в загрузчик (как в случае полностью незашифрованного загрузчика, так и с помощью частично зашифрованного). Зато если случаи пыток и краж ноутбуков при перелётах. Поэтому с точки зрения практики FDE позволяет отсечь широкий спектр попыток получить доступ к диску, за исключением применения силового способа, от которого нет приёма. А если рассматривать силовой способ, то вообще значения не имеет защита загрузчика.

Предположим, что есть компьютер, где /boot зашифрован, а grubx64.efi - нет. Что помешает злоумышленнику, который вытащил диск из компьютера (и может произвольно его читать/писать), записать на диск любой загрузчик по его выбору с теми модулями, которые ему нравятся? А когда законный владелец компьютера включит его и введёт парольную фразу, расшифровывающую диск, вернуть всё обратно.

В теории - нет. Также как ничто не помешает изменить полностью незашифрованный загрузчик, что упрощает задачу. Однако, этот способ требует серьёзных затрат и усилий - надо написать grubx64.efi так, чтобы не испорить его, надо сохранить где-то пароль, надо внедрить в загрузчик бинарь, который читает сохранённый пароль и отправляет его не сервер. Причём нужно поставить не любой загрузчик с любыми модулями, а именно grub, так как подмена grub на systemd-boot (например) очевидно. В теории если предполагать, что в распоряжении атакующего есть много ресурсов, это реализуемо.

На практике - да, защитит. FDE отсеет мимопроходящих (желающих посмотреть), а у каких-то кулхацкеров им. Kali Linux отпадёт охота ковыряться в grub. Если против вас государство, то оно не будет модифицировать EFI файл, оно вас будет пытать, а в обвинительном заключении напишет, 2+2=17, а кто не согласен - иностранный агент.