NetBSD 上的磁盘加密：先想清楚要防谁
来源：netbsd.org — 2026-11
📋 概述
这篇长文从威胁模型讲起：磁盘加密真正解决的是两种情形——设备丢失或被窃时内容不外泄，以及被动手脚后设备直接不可用。作者先聚焦第一种，再指出「真·全盘加密」在无专用硬件时很难做到，因为开机需要先有软件来输密码；NetBSD 还得在盘上留元数据，用来从 24 字符口令派生 256 位密钥。
🔑 核心要点
- 先分类要保护的数据：系统文件与用户改动过的文件，前者大多可从官方渠道重新获得。
- 基础系统与软件包分离让大量根文件系统目录保持只读，减小了需要加密的面。
- 无专用硬件时全盘加密天然受限：引导阶段必须有可信代码来接收密钥。
- 共享库缺失会让系统难以启动，作者提醒先熟悉 /rescue 里不依赖共享库的工具。
💡 金句
If we want to keep data on the system secret, we must first consider which data is worth protecting.
👍 0
👎 0
← 返回 Hacker News 首页