我正在为一个客户端搭配一个远程服务器，他们的主要要求是将数据encryption到引导分区之外。 主系统将位于主驱动器上的dm-crypt LUKS容器中，但是由于内核在清除启动分区的情况下可能会被恶意代替以捕获密钥，因此还需要进行保护。
为了解决这个问题，我能想到的唯一select是内置硬件encryption的驱动器，并通过IPMI接口远程解锁。 这样做的麻烦在于，每月费用的预算已经被批准用于一个IP地址，这意味着没有昂贵的物理访问行程或者与项目经理的更昂贵的会话，没有办法容易地连接到IPMI接口增加预算几块钱。
我希望find的是一个驱动器解决scheme，其中包括一个固件，可以引导到，通过SSH或HTTPS连接，解锁encryption的数据和chainload引导加载程序，其中将包括一个内核加载主LUKSarrays作为根划分。 接口可以是USB或SATA，甚至可以是PCI-E。
我愿意接受其他的build议，因为这是我可以独自提出的唯一可用的select。 我找不到任何类似的解决scheme，或者search一个术语。
我认为迈克尔有正确的答案。 我完全理解你来自哪里，但这不是你的工作来推测客户的愚蠢 – 大多数客户有足够的自己的供应。 推荐正确的东西，让他们以成本为由拒绝。 保持文件的path。
然后，如果他们坚持一个零成本的select，你可能会考虑使用该安全分区的tripwire在分区解锁后立即检查系统完整性。 您可以对tripwire二进制文件和签名文件有信心，因为它们位于encryption分区上。 通过这些，您可以对未encryption分区的内容以及其上的内核和库有一些信心。
这并不完美，但比未encryption的分区上的检查更安全。 而且如果事情变成梨形的话，你会让他们有机会做得更好，并被拒绝。