すべてのパーティションは暗号化されていますが、/パーティション/homeは/boot暗号化されていないままで操作が可能でなければなりません。ブート時にカーネルをハッシュし、結果を保存された値（コンパイル時に作成され、暗号化されたドライブに保存されます）と比較して、最後のブート以降に誰かが何らかの方法でカーネルを操作したかどうかを確認します（物理的にも可能です）。これらのスクリプトを書くのに問題がありますか？これを実行できるプログラムはすでにありますか？
ベストアンサー1
あなたが探しているのは、お使いのコンピュータで実行されているオペレーティングシステムが信頼できるオペレーティングシステムであることを確認することです。信頼できるブート。 （これは時々信頼できるブートと呼ばれるいくつかのうちの1つです。）あなたが提案した方法はこの目標を達成しません。
暗号化が提供されないデータの整合性または確実性。つまり、攻撃者がディスクの内容を修正し、悪意のあるオペレーティングシステムと交換するのを防ぎません。この悪意のあるオペレーティングシステムは、ロードするカーネルのチェックサムを表示するように簡単にプログラムできます。
最も簡単な攻撃経路は次のとおりです。仲介者攻撃者は、ある種の仮想マシンで通常のオペレーティングシステムを実行します。仮想マシン層は、入力を必要なオペレーティングシステムに送信し、出力を再送信します。ただし、側面にキー入力（mmmm、パスワード）を記録し、OSメモリから秘密キーをスヌーピングするなどの作業も行います。
このような攻撃を避けるためには、次の措置が必要です。信頼の根: システムの他のコンポーネントがそうではないという理由で信頼できるシステムコンポーネントです。つまり、どこかから始める必要があります。お持ちのハードウェアから始めることをお勧めします。目に見えないUSBキーにオペレーティングシステムを保存してから、十分に確実なハードウェアにのみ接続できます。ハードウェアにマルウェアが含まれている可能性があります。！ ）。お使いのコンピュータを信頼していると、コンピュータのハードドライブも信頼できる可能性が高くなります。
小さなチップを信頼することと、デスクトップまたはラップトップ全体を信頼することとの間のギャップを解消する技術ソリューションがあります。一部のコンピュータではTPM（信頼できるプラットフォームモジュール）ここでは、既知のオペレーティングシステムのみを起動できることを確認できます。信頼できる地の虫TPMがサポートされているため、TPMとTrusted Grubを一緒に使用すると、実行中のカーネルが承認されたカーネルであることを確認できます。
TPMを採用することは有利かもしれないし、不利になるかもしれない。それは誰が鍵を持っているかに依存します。 TPMの秘密鍵があれば、コンピュータで実行される操作を正確に制御できます。メーカーだけが秘密鍵を持っているなら、公共プラットフォームをロックされた装置に変えることも一つの方法だ。