Linux关机时自动擦除内存敏感数据，核心是防止冷启动攻击提取RAM中残留的密钥、密码等明文；需用sdmem在关机前强制覆写全部RAM三次，并通过systemd服务集成到halt/poweroff流程。

Linux关机时自动擦除内存敏感数据，核心目标是防止RAM中残留的密钥、密码、会话令牌等未加密明文信息在断电后被冷启动攻击或内存转储工具提取。这不是靠“清空变量”或“退出程序”就能实现的——进程终止后，物理内存页内容通常仍保持数秒至数分钟（尤其在低温环境下），必须主动触发安全擦除。

用sdmem在关机前强制清除全部RAM

sdmem 是 secure-delete 工具集专为内存设计的命令，它向所有可用RAM区域写入随机数据（默认3次），确保敏感内容不可恢复。它不依赖内核模块，直接操作物理地址空间，适合关机流程集成。

在 /etc/systemd/system/ 下创建关机服务：

sudo nano /etc/systemd/system/erase-ram-on-shutdown.service

填入以下内容：

[Unit]
Description=Erase RAM before shutdown
DefaultDependencies=no
Before=final.target
Conflicts=reboot.target halt.target poweroff.target

[Service]
Type=oneshot
ExecStart=/usr/bin/sdmem -f -v
RemainAfterExit=yes
StandardInput=null
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=halt.target poweroff.target

启用服务：

sudo systemctl daemon-reload
sudo systemctl enable erase-ram-on-shutdown.service

说明：

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

• DefaultDependencies=no 和 Before=final.target 确保它在系统服务停止后期、电源切断前最早执行；
• -f 强制跳过交互确认，适配自动化关机；
• StandardInput=null 防止因stdin未关闭导致阻塞；
• 日志自动记入journal，可查：journalctl -u erase-ram-on-shutdown.service --since "1 hour ago"

补充：对启用hibernation（休眠）的系统需额外处理

若系统启用了 hibernation（即suspend-to-disk），内存内容会被完整写入 /swapfile 或 swap 分区并保留。此时仅擦RAM不够，还必须安全擦除swap数据：

• 先禁用休眠（推荐）：注释 /etc/default/grub 中 resume= 参数，运行 sudo update-grub && sudo reboot
• 或保留休眠但擦除swap：在上述service中追加一行 ExecStartPost=/usr/bin/sswap -f /dev/sda3（替换为你的swap设备），并确保 sswap 已安装

验证是否生效

关机前手动测试一次：

sudo sdmem -f -v | head -n 5

观察输出是否显示“Writing pass 1/3…”等进度；关机后立即重启，用 dmesg | grep -i memory 检查有无sdmem相关日志。也可在关机瞬间按住 Shift 进入grub，选择恢复模式，再检查journal。

不复杂但容易忽略