在一个遥远的盒子里，我的文件是700个chmoded，但是我担心root可能正在读取它们。
有没有办法添加另一层保护，以避免这种情况，也许通过encryption它们，但是当我运行的程序请求它们时允许平滑的即时解密？
我的典型用法是运行irssi和vim的GNU屏幕会话。
谢谢！
从逻辑上思考 – 不涉及任何特定的技术 – 如果不是你的机器，而且你不信任根，那么你就有问题。
你真的不能做任何有关保护screen和irssi 。 Root将始终有权强制屏幕会话的附件，嗅探来自networking的IRCstream量，或潜在地窥探进程内存的内容。
你可以使用密钥和密码来encryption文件。 但是这需要系统在需要的时候可以访问encryption密钥，这又意味着root也可以访问，并且可以用powershell攻击。 未encryption的文件将在内存或磁盘中存在，并且你猜对了，root也可以看到这些文件。
没有。根看到一切，知道一切。
我不确定任何解决scheme将工作。 什么是停止根用户login或su'ing您的用户？ 即使您需要在root用户中input密码，也可以轻松设置键盘logging器来捕获密码。 如果您不信任您正在使用的服务器的根用户，则解决scheme是使用不同的服务器。
无论如何，这是无法实现的。
如果您不信任pipe理员，那么他们总是有办法在控制您的硬件和基础设施时获取数据。
通过书面政策规范访问。
在普通的Linux（或Windows，或大多数其他操作系统）上，这是不可能的。 正如其他答案指出的那样，root /系统pipe理员可以根据定义完成所有的工作，并且可以规避您设置的任何保护（即使以您无法检测到的方式）。
也就是说，你所描述的是使用强制访问控制的操作系统。 例子是Trusted Solaris或SELinux。 在这些系统上，甚至可以限制root / SysAdmin的权限，使得像您这样的场景成为可能。 虽然设置起来还是相当棘手的，而且可能会导致configuration和使用上更多的工作。 所以实际上说，这是不可能的。
以encryptionforms存储和传输文件，以便明文永远不会离开您的机器。 也保持散列validation所有数据。
这样做是最糟糕的是拒绝服务。
大型企业系统在默认情况下也受到保护，即使受到访问控制系统（如RBAC或某些MAC变体）的根本攻击。 Sleske的评论支持这一说法。 查看维基了解更多详情。 但是，如果您是中小型系统的用户，则必须拥有“全能而不可信”的root帐户，您必须根据负责用户会话的自主虚拟机开发“双本”系统另一个负责根服务器会话的虚拟机。 比尔Michaelson
用你select的操作系统创build一个虚拟机，最好使用encryption的文件系统，然后把你的秘密文件放在那里。 如果可能的话，请设置一个基于令牌的或生物特征授权，而不是或除了用户名/密码之外