使用任何FDE解决方案,您必须拥有未加密的系统引导程序.至少,它将包含MBR,引导加载程序,内核和initrd.

可以通过使用类似Mandos或使用整个操作系统安装的网络来启用FDE引导系统,然后通过远程运行在cryptsetup和mount之后利用pivot_root,chroot(或kexec)的强大功能的自定义脚本来切换到真实操作系统.

使用Xen并使用具有加密存储的VM类似于使用整个操作系统进行自举,但是使用较少的数据并且更容易维护.这种方法的唯一缺点是虚拟化开销.

块设备方法(LV,分区或环回)当然很容易实现,特别是如果您尝试在生产系统上进行更改.

现在的建议部分：如果你可以获得远程控制台访问(完整的KVM,而不是串行),并且你正在构建一台新机器,那么请使用FDE.所有当前的发行版都在安装程序中支持它,它将是最少的维护选项.

除此以外：

>甚至不考虑使用FDE.远程访问引导系统将太脆弱,当它破裂时,它将是一个噩梦修复.除非你真的真的知道你在做什么,否则不要试图动态转换实时系统.
>如果要为此安全性升级构建新计算机并且虚拟化开销可以接受,那么请选择方法2.对于您自己和任何其他未来的系统管理员来说,理解/维护是最明智的选择.使用此方法,您可以在VM中使用操作系统提供的安装程序加密,而不是根据需要加密主机上的存储(对维护/迁移等两种方法都有利可图).
>如果你必须在生产系统上进行此更改(我强烈建议反对.让客户端为第二个系统的正确迁移付费),然后使用方法3并使用LUKS格式化的块设备(最好是逻辑卷) ).
>在任何这些情况下,基本系统或引导代码显然可能是特洛伊木马,以便显示加密密钥.不要浪费你的时间来减轻这种风险,除非你有很多时间在手上并且你的客户有钱可以燃烧.如果你必须减轻它,那么你会想安装类似Osiris的东西.

请记住,软件错误,备份系统,错误配置,错误密码等数据将面临更大的风险.