我当时正在考虑购买 NitroKey。令我惊讶的是，我在宣传册：
始终保持操作系统的安全
直接从 Nitrokey Storage 安全启动 Windows 或 Linux。Nitrokey Storage 加密并保护系统免遭操纵，例如通过“Evil Maid”安装监控软件。
我熟悉将引导加载程序、内核和 initramfs 以及加密密钥保存在 USB 上以防止篡改。但这种存储本身是未加密的，否则系统无法加载引导加载程序 + 内核。
但在这种情况下，我有点搞不清楚它是如何工作的。我发现的有关其加密机制的大多数资料都表明，主机上的应用程序应该要求您输入设备 PIN 才能解密存储上的文件。因此，除非它附带一些内部引导加载程序逻辑，否则它如何将系统调到可以询问 PIN 的状态？NitroKey 真的能以一种革命性的新方式启动系统吗？
我尝试寻找此说法的二手资料来源，但无济于事：
- Nitrokey 常见问题解答，没有提到任何与启动相关的内容
- 固件更新指南告诉
--suppress-bootloader-mem，这让我感觉有一个引导加载程序。（Google 可能是根据 boot 这个词为我找到了这个链接） - 安装指南， 空空如也。
- A论坛主题有人认为从存储棒启动意味着从存储棒运行完整的操作系统，而不是将操作系统卸载到加密硬盘上。对此也没有明确的答案。
- 更多提及我了解到有关引导加载程序的信息，但不知道它能做什么。
答案1
虽然这可能并不是您所寻找的（并且一年后，您可能已经找到了方法或者放弃了这个想法），但是您可以将 nitrockey 存储上的未加密分区设置为只读（硬件支持），这一事实对我来说足以实现“安全启动过程”。
虽然仍然没有加密，但只要您不提供 Nitrokey 的管理员密码（甚至不提供“用户”密码），它就会保持只读状态，希望它对您来说足够防篡改（这些元素中不应该有任何敏感数据，所以加密本身不应该是目标）。
答案2
仅从宣传册来看，这似乎已经超出了范围 - 我希望提供合理否认的相同功能可以使部分磁盘保持未加密状态，并且能够启动而无需像普通 USB 密钥那样需要密钥。（我希望有其他功能可以提供安全区域，并且底层磁盘也可以以对 USb 接口透明的方式加密，但这与此特定声明无关）
关键是他们指定了“邪恶女仆”攻击 - 这意味着有人在您不在时通过物理访问破坏系统。因为您可以随身携带密钥，所以您可以确保操作系统干净地启动，绕过无人值守的 PC 上的引导加载程序中添加的任何恶意软件。