假设我想要一个带有全盘加密的 Ubuntu 设置（设为 12.04）。 Ubuntu 在安装过程中提供了此选项。
还假设我有人（例如我的供应商）为我设置了此设置，并且我只获得包含预定义加密密码（当然还有所有其他密码）的成品系统。
有什么办法可以让这个人可靠地即使我更改加密密码（可能还有其他密码），仍保留对设备上加密数据的访问权限吗？
（请注意，我不是在谈论普通的后门，例如安装 SSH 密钥或 root shell 或修补某些守护进程以接收来自外部的命令。我具体谈论的是针对全盘加密的后门，并且可能无法在不关闭的情况下关闭。重新安装或重新加密整个系统。）
例如，使用 TrueCrypt 可以（或曾经）保存加密硬盘的第一个扇区，因为它仅使用密码来加密主密钥（然后用于加密数据） - 并且如果您替换两个密码通过在密码更改后替换这些扇区并加密主密钥，您实际上可以撤消加密密码更改。
dm-crypt/LUKS 可以实现类似的功能吗？如果没有的话，有类似的吗？
答案1
是的当然。供应商可以只保留主密钥。 LUKS 标头的备份。由于即使您更改密码，此密钥也不会更改，因此它允许完全访问所有数据。所以你在这里完全依赖于信任。后门和其他一切都是最重要的。
除了手册页之外，Cryptsetup FAQ 也值得一读：
http://code.google.com/p/cryptsetup/wiki/FrequentlyAskedQuestions
它涵盖了各种漏洞。你的问题也在那里得到了解答6.7 备份是否会损害安全性？
我不是供应商，但在这种情况下，我会考虑保留主密钥的备份服务。如果我卖给不懂电脑的人，他们可能会忘记密码，并向我寻求帮助。在这种情况下，拥有主密钥是唯一能提供帮助的方法，除非你能将其范围缩小到几百万种可能性（即，如果你或多或少知道你的密码，但不知道哪个）您使用的变体）。当然，如果你这样做，你应该诚实地对待它。
如果你希望能够信任一个系统，你总是必须自己设置它。这包括数据中心的映像安装服务和所有其他类型的服务。