¿Cómo el cifrado / partición doméstica con ecryptfs en Linux detiene la modificación maliciosa de / boot o / (root)?

Esta es una página donde un desarrollador de ecryptfs explica la diferencia entre ecryptfs y dm-crypt: https://stackoverflow.com/questions/18230784/what-is-difference-between-linux-kernel-subsystem-dm-crypt-and -ecryptfs / 18234635 # 18234635 . Sin embargo, esto me dejó con una pregunta, si ecryptfs solo encripta la /homepartición, qué impide que un pirata informático malintencionado modifique la partición /o /bootpara quizás oler la contraseña de encriptación o modificar un programa, etc.

En resumen, ¿cómo puedo estar seguro de que una persona no autorizada no solo puede leer los datos de mi computadora, sino también cómo puedo estar seguro de que nada en mi computadora se modifica sin que yo lo sepa?

Además, ¿dónde termina esto porque en algún momento, el código de arranque no debe estar encriptado para que el procesador lo entienda? (A menos que utilice algún tipo de descifrado de hardware) Pero, por definición, ¿se puede modificar algo sin cifrar?

(Como punto secundario, puedo ver una forma de determinar la integridad de la secuencia de arranque manteniendo un hash de la parte no cifrada del código de arranque en la parte cifrada y en el descifrado comparando un hash precalculado con un hash de la parte no cifrada de la secuencia de arranque en tiempo de ejecución. Sin embargo, esto no resuelve el problema de tener áreas sin cifrar, solo una forma de saber después de que se haya modificado algo)

La respuesta corta es "muy poco" impide que un pirata informático modifique / arranque, en realidad solo tiempo, acceso físico no detectado y la capacidad de recompilar initrd con un registrador de teclas.

Nada detiene a un pirata informático malicioso que modifica un ecryptfs basado en / o / boot si tiene acceso al sistema físico, pero ver más adelante, de eso no se trata.

"/" se puede proteger mediante el cifrado de disco completo como LUKS (pero no, que yo sepa, por cifrado de archivos) - Como el sistema se inicia inicialmente desde / boot initrd puede solicitar la frase de contraseña necesaria para desbloquear el volumen antes del montaje /

Creo que está sobreestimando la capacidad de cifrado de disco completo. Le digo que está diseñado para dejar de proteger a las personas contra amenazas no persistentes, como el robo de una computadora portátil o cuando desea RMA un disco duro con información personal. En ambos casos, los datos ya no son de utilidad para usted, pero desea evitar que un tercero desconocido acceda a ellos, y, muy a menudo, el cifrado de sus documentos basado en archivos es adecuado, a quién le importa si tienen una copia sin cifrar del sistema binarios: son de código abierto de todos modos.

No puede proteger su sistema de personas no autorizadas con acceso local a él, por lo que la solución a esto es evitar el acceso físico. Puede ir de alguna manera para asegurarse de que las cosas no se modifiquen sin su conocimiento sumando todos sus archivos de sistema y haciendo una comparación con una copia de seguridad fuera de línea, esto no es totalmente seguro, ya que necesita asegurarse de que está ejecutando un programa de suma de verificación no modificado, y uno que hace que los hashes de colisión sean prácticamente imposibles de recrear. [Puede simplificar esto si separa sus sistemas de archivos y hace que algunos de ellos sean de solo lectura, y luego mantenga un solo hash para cada partición de solo lectura]. Sin embargo, todo este proceso es engorroso.

Cuando se utiliza el cifrado de disco completo "/" Normalmente no utilizaría la computadora como "raíz", excepto para actualizaciones, etc., esto proporciona un grado razonable de