Linux硬件级全盘加密需LUKS2+dm-crypt+TPM2协同，依托UEFI Secure Boot与TPM2信任链实现密钥绑定PCR值，确保启动验证与密钥安全解封，辅以加固/boot、双因子密钥及内核模块签名，达成固件到运行时的纵深防护。
Linux系统中实现关键数据的硬件级全盘加密防护，核心在于结合LUKS2 + dm-crypt + 可信硬件模块（如TPM2），形成从固件层到内核层的纵深防御。它不是单纯“软件加密”，而是利用硬件可信根支撑密钥保护与启动验证，真正达到“硬件级”防护效果。关键不在于是否用NVMe或SATA，而在于密钥生命周期是否脱离纯内存管理、是否绑定平台状态。
硬件信任链起点：启用UEFI Secure Boot与TPM2支持
必须确保系统运行在UEFI模式下，并开启Secure Boot（防止恶意bootloader加载）。同时确认主板已启用TPM2.0芯片（多数2018年后主流主板默认集成），并在BIOS中设为“Enabled”且模式为“TCG 2.0”。
- 验证命令：
dmesg | grep -i tpm ls /sys/firmware/efi/efivars/ | grep -i secure tpm2_getcap properties_fixed # 需安装tpm2-tools
- 若无TPM2，所谓“硬件级”仅停留在软件模拟层面，无法抵御冷启动攻击或固件劫持。
使用LUKS2+TPM2绑定加密卷（非仅密码）
LUKS2原生支持TPM2密钥密封（sealing），可将主密钥加密后绑定至特定PCR值（如PCR0/PCR7，代表固件+bootloader完整性）。系统若被篡改，TPM拒绝解封密钥，加密卷无法解锁。
-
初始化TPM绑定（以根分区为例）：
# 先luksFormat（显式指定强参数） sudo cryptsetup luksFormat --type luks2 \ --pbkdf argon2id --iter-time 5000 \ --cipher aes-xts-plain64 --key-size 512 \ /dev/nvme0n1p2 # 将密码槽替换为TPM2密封密钥（需提前配置initramfs支持） sudo systemd-cryptenroll --tpm2-device=auto \ --tpm2-pcrs=0,7 \ --wipe-slot=1 \ /dev/nvme0n1p2
此操作将主密钥加密后写入TPM，并记录PCR策略。重启时，initramfs中的
systemd-cryptsetup会自动调用TPM2读取并验证PCR，成功后才释放密钥——用户无需手动输密，但平台必须可信。
分离/boot并加固initramfs信任链
/boot分区必须独立、未加密（GRUB无法读LUKS），但绝不能放任其裸奔：
-
/boot使用ext4/xfs格式，挂载时添加noexec,nosuid,nodev选项； - 禁用未签名内核镜像加载：
sudo mokutil --disable-validation（配合Secure Boot）； - initramfs中只保留必需模块（
cryptsetup,tpm2-tss,dm-crypt），移除usb-storage等高风险驱动； - 每次内核更新后，强制重建initramfs并重签：
sudo update-initramfs -u -k all sudo sbctl sign -s /boot/vmlinuz-*
密钥管理双因子强化（密码+TPM+可选密钥文件）
单靠TPM存在平台恢复风险（如主板损坏），建议采用三重保障：
- 主解锁方式：TPM2自动解封（静默、安全）；
- 备用方式：LUKS密码槽（应对TPM故障）；
- 增强方式：额外密钥文件（存于USB或YubiKey）：
dd if=/dev/urandom of=/mnt/usb/keyfile.bin bs=4096 count=1 chmod 0400 /mnt/usb/keyfile.bin sudo cryptsetup luksAddKey /dev/nvme0n1p2 /mnt/usb/keyfile.bin
配置
/etc/crypttab时指定keyscript或使用keyfile-timeout控制USB等待时间。
启动后持续防护：内核模块签名与运行时完整性
硬件级防护不止于启动阶段：
- 编译内核时启用
CONFIG_MODULE_SIG=y和CONFIG_MODULE_SIG_FORCE=y，所有模块必须带有效GPG签名； - 使用IMA（Integrity Measurement Architecture）监控关键文件哈希：
echo "integrity measure func=FILE_CHECK mask=MAY_READ uid=0" > /sys/kernel/security/ima/policy
配合TPM PCR10记录运行时度量，实现从固件→bootloader→kernel→rootfs→关键进程的全链路可信验证。
不复杂但容易忽略
