可以在没有手动输入（密码短语）的自启动设备上实现完整设备加密吗？

Question

理论上是否可以进行安全设置，加密设备在没有手动输入的情况下自行解密？

密钥文件（与密码短语相对）显然是一种解决方案，但如果解密系统（启动分区）可以访问密钥文件，则读取启动分区的任何人都可以读取密钥文件。

也许有一些如何实现这一目标的聪明技巧。想到的一个想法是拥有一个闭源的启动分区，它具有（初始）加密密钥。

我在抽象层面上问这个问题，以免限制好反应的可能性。实际上，我的问题适用于Arch-Linux设备。我可以使用块设备加密并将密钥文件存储在启动分区中，甚至加密启动分区，但最终在链的某个地方，密钥需要以非加密方式公开。

Answer 1

不，那是不可能的。

如果没有手动交互，设备必须可以自动访问密钥。 由于它只是一个设备，您可以“手动”重现/执行其操作以读取密钥。

由于默默无闻不是一种安全手段，拥有“封闭源”资源也是不安全的。 例如，读取存储在智能卡上的密钥可能非常昂贵 - 但您可以像设备一样查询智能卡。