grub (2.06) + luks2 = не работает

Intel Boot Guard

Збс, не знал про такое. Поковыряюсь в биосах своих ноутов, погляжу, а то я не припомню чтобы выдел там что-то подобное.

Глупость в случае с ворованым ноутом

Ты читаешь как-то выборочно:

Так что достаточной мерой безопасности будет просто запрет грузиться с флешек, а при утере и получении устройства назад, считать его заведомо скомпрометированным

Как ты умудрился прочитать первую половину предложения и полностью проигнорировать вторую?

выносом загливия в шифрованный /boot на загрузочной флешке

Обдумывал подобное, но это слишком непрактично. И на всякий случай ещё таскать с собой молоток, чтобы флешку надёжно уничтожить. Так что у меня просто бут в корне, который шифрован.

Собственно, а чем luks1 плох, и уступает luks2? И FDE на основе luks1 не решает ли озвученные проблемы кражи/компроментации ноутбука?

как я понял новый формат ключей более устойчив от брутфорса, в пример приводится перебор паролей с помощью пачки видеокарточек (майнинг ферма?)

Поковыряюсь в биосах своих ноутов, погляжу, а то я не припомню чтобы выдел там что-то подобное.

Оно в процессоре Intel. Память с одноразовой записью, возможности сменить ключ нет. Включается только один раз, без возможности отключения. Если секретный ключ потеряешь обновить UEFI будет невозможно, при обновлении девайс окерпичется.

ЗЫ: почему ни кто, кроме chromebook, сегодня не использует технологию аппаратной блокировки изменения UEFI при помощи джампера на материнской плате? Если закоротить 1-вую дорожку SPI flash на землю джампером, то запись на нее становится физически невозможной.

более устойчив от брутфорса, в пример приводится перебор паролей

Правильное решение для ноута: полное шифрование диска, с выносом загливия в шифрованный /boot на загрузочной флешке.

В этом случае, кроме ноута надо украсть еще флешку и аж дважды подбирать пароль: сперва для расшифровке /boot чтобы получить заглавие с зашифрованного раздела /boot и только потом подбирать пароль для расшифровки диска ноута. А без флешки с шифрованым /boot расшифровка диска невозможна вовсе.