Нашёл: http://michael-prokop.at/blog/2014/02/28/full-crypto-setup-with-grub2/

Зачем шифровать /boot?

@l29ah Чтобы злые дяди не добавили в мой initramfs модуль, сливающий пароль к моему LUKS-разделу, например.

@minoru Не парься, они просто добавят в твой граб гипервизор.

@l29ah Э-э-э, что? Поясни, пожалуйста.

@minoru Берётся твой граб, в него добавляется, например, правильный инитрамфс, который потом зовёт твой инитрамфс.

@l29ah Стоп-стоп-стоп. Как они могут взять мой граб, если он на зашифрованном разделе? Или ты про тот кусочек граба, что в MBR? Или ты предполагаешь, что злые дяди могут присылать мне апдейты, дёргающие update-initramfs?

@minoru Да, я про него. Опять же, у тебя в биосе может быть гипервизор.

@l29ah М, ну те пара килобайт, что в MBR — это гораздо более маленькая attack surface, чем целый /boot. BIOS — это уже другой уровень. Шифрование /boot — это всего лишь ещё один маленький шаг в сторону более защищенной системы.

@minoru Чо за другой уровень? Если чувак может добраться до твоего /boot, то он и биос переписать может.

@l29ah Чтобы переписать мой /boot, много ума не нужно: делаем chroot с debian, компилим там нужный им модуль, потом тупо грузимся на моей машине с livecd и копируем модуль в /boot. А вот BIOS переписать уже не каждая домохозяйка может. Потому-то и другой уровень.

@minoru Забавная у тебя домохозяйка, избирательная. Мои знакомые вендобляди ничего не знают про /boot, но биосы себе обновляли, а некоторые даже ковырялись в них для модных лого и выпиливания вендорлока. Алсо, в биосе троян может быть искаропки. Так что лучше бы ты себе coreboot поставил.

> загружаться не с флешки

@l29ah Ковырялись? Да ладно! Но ок, я теперь подумаю и про coreboot тоже. Спасибо!

@komar Такое себе решение: можно потерять, не слишком сложно подменить (живу в общаге прост).

@minoru > шифруется от соседей в общаге Блядь, как вы заебали со своими задротопроблемами.

@komar Блядь, блядь комар блять блядь сука. А теперь по-русски: да, шифруюсь, почему бы и нет? Тут есть люди, которым хватит мозгов и прямоты рук в качестве пранка поломать мне систему, я считаю.

@minoru убивать пробовал?

@minoru Можно флешку в анус запихнуть. Или rfid-сертификатор в хуй вживить.

@minoru В качестве пранка они тебе в рот насрут и вложат на ютьюби, а у тебя какая-то ебаная шизофрения.

@hirthwork Чо, на зоне жить лучше, чем в общаге? Srsly, зачем убивать? Прецедентов не было же, а казнить наперёд как-то, гм, ебануто совсем.

@l29ah Не хотеть.

@minoru Попробуй, ещё захочешь!

@l29ah Не скатывай мне тред!

@minoru Всяко лучше, чем параноиться почем зря.

@komar ет