USB key security - linux boot

Question

Есть ли у кого-нибудь идеи, как я могу сделать защищенный USB-ключ, который я бы вставлял в сервер, и загружать его -> если USB-ключ правильный, то linux завершит boot - я могу создать скрипт при запуске, но у меня нет идеи, что вводить в USB-ключ, читать с ...

Например, я могу проверить идентификатор вендора USB - но этого недостаточно , могу ли я внести некоторые изменения в USB-ключ (какой-то скрытый раздел или что-то еще), чтобы позволить этому конкретному USB-ключу присутствовать и позволить завершить загрузку linux.

Это для обеспечения безопасности, поэтому, если кто-то клонирует мой сервер, он не может загрузиться без специального USB-ключа.

Answer 1

Я думаю, что ваше решение должно заключаться в том, чтобы на клавиатуре была подпись PGP, а скрипт запуска проверял, правильно ли подписан ключ перед запуском.

У вас есть пароль «pass123», cypher его с закрытым ключом PGP, специфичным для вашего USB-накопителя, и сервер дешифрует его с помощью открытого ключа. Если сервер может читать дешифрованное сообщение как «pass123», то это правильный ключ.

Это решение, хотя это только половина безопасности, принимая во внимание, что если у вас есть образ сервера, вы можете изменить этот сценарий и удалить условие ...

Я бы тогда предложить имея жесткий диск зашифрован таким образом, что этот сценарий запуска не может быть изменен до его дешифрования (и компьютер работает).

Я не являюсь опытным пользователем шифрования дисков, хотя я не знаю, обходит ли эта безопасность, если злоумышленник создает изображение системы, пока он уже запущен и работает. Если вы боитесь, что злоумышленники пытаются извлечь жесткий диск, затем клонируйте его, а затем загрузите, они будут в конечном итоге зашифрованным диском.