希望加密系统，这样如果有人可以物理访问服务器，他们就无法克隆硬盘或从硬盘上复制数据。我需要服务运行，这样系统才能完成工作，但我想保护服务器数据。服务器需要能够在断电时由任何人重新启动，而无需输入密码。
我将阻止访问 USB 端口和 Bios。
有人知道我该如何做到这一点吗？欢迎提出任何建议，并且可以接受跳出框框的思维。
谢谢
答案1
一般来说，如果不使用专用硬件，这似乎是不可能的。
如果攻击者可以克隆硬盘并在虚拟化下启动映像，那么当系统启动时，就永远无法 100% 确定它是否在真实硬件上运行。
如果您的服务器有硬件 TPM，您可以使用修改后的引导程序（如 TrustedGRUB 或 tboot），以便驱动器的加密密钥存储在 TPM 中，并且只有在可以检查操作系统未被篡改时才会被披露。TPM 本身不应该是可克隆的。
如果您只想防止有人窃取 HD、克隆它并将其放回原位，将密钥存储在 TPM 中并在启动时读取它就足够了，在这种情况下，您不需要受信任的引导加载程序，只需要像 TrouSerS 这样的用户空间 TPM 软件堆栈。
但是，如果攻击者窃取硬盘、克隆硬盘、修改启动顺序以泄露密钥，然后将修改后的硬盘放回原处，那么这种方法就不安全了。要防御这种新攻击，您确实需要运行受信任的引导加载程序。
如果您选择这样的解决方案，请不要忘记将密钥备份到一些安全的离线存储中。否则，如果主板或 TPM 出现故障，将很难恢复您的驱动器。