我对安全启动和 TPM 有疑问，但在网上找不到准确的答案，所以我希望这个领域的专家能够回答。
在发生邪恶女仆攻击的情况下，如何防止攻击者用恶意芯片替换包含用于验证启动操作系统的密钥的芯片，从而启动恶意操作系统？
假设没有什么可以真正阻止这种情况，我该如何配置 LUKS，以便只有当有正确的 TPM 模块时它才会解锁加手动输入密码？这样我就不用更换芯片了和冷启动攻击/总线嗅探，因为系统只能在原始 TPM 存在的情况下启动和我。
如果我问了一些显而易见的问题，我很抱歉，我不完全知道这一切是如何运作的。
答案1
如果您使用 TPM 来存储用于解锁 LUKS 卷的密钥，则删除/替换该 TPM 将自动强制操作系统要求输入密码才能解锁，因为它不再具有可用的密钥。
如果你真的希望 luks 在每次解锁时都需要 TPM 密钥和密码，那么你需要对你的卷进行双重加密