要保证数据安全，冷储存比 nas 更好

我树莓派开了 luks ，initrd 里要 ssh 远程上去手动解密才进入正常的开机阶段，断电后就启不来了，我认知范围里蛮安全的

一般来说普通人说的数据安全指的是数据可用性而不是机密性

@cc666 旧版的 Windows Boot Manager 有一个漏洞 CVE-2023-21563 ，在特定的情形下没有清除内存里的 Bitlocker key 就引导第三方非 Windows 操作系统，导致密钥泄漏。虽然新版的已经没有漏洞，但是旧版太多，全部录进黑名单（证书吊销列表）会占用主板固件近一半的空间，而且会导致旧系统无法安装，于是微软决定不吊销。所以攻击者如果可以修改磁盘或者 BIOS 允许用其他载有旧版 Boot Manager 的介质启动的话都可以轻松解密 Bitlocker 。目前的解决方案是设置 TPM+PIN 的形式，但是 Windows Home 不支持。

@billccn 感谢指出

@v2tudnew 这个完全称不上漏洞或者 BUG ，设备的控制权在别人手里，别人以管理员解锁了设备了，可以获得 bitlock 密钥是预期行为

@lqs 开机自动解密=没加密这说法是错误的。如果真的这么蠢，为啥威联通群晖都做这功能，他们的产品经理程序员都是弱智吗？

你想想，假如你 nas 被人抱走，然后人家插上网线开机，硬盘开机自动解密了，但是访问硬盘的方式仍然是需要密码的，要么 WebUI 登录，要么 SMB ，要么 SSH ，你都不可能绕过系统去直接读硬盘，但凡你把硬盘直接拔下来，你还是无法直接读。这就是开机自动解密的设计理由。

@qiuhang 但是我根本没必要在网上说什么话含沙射影某人啊

@Tomatopotato 只要是密钥在内存里，就能 dma 读。或者有 ttl 串口、主板测试点更简单。

@Gesar 你觉得你的数据值得别人这么搞你吗？

都突然有人上门了，他不能对你一顿严刑拷打？你能撑几轮不交密码？ NAS 就不一样了，你可以用别人的名义租套房，把 nas 放到那里，冲到你家的人都不知道你还有这玩意，而且 nas 加密文件夹又不是必须开机自动挂载，就算自动挂载的，你没密码也登陆不上，不开机又是加密状态，安全性怎么也比移动硬盘高吧

没启动的时候，怎么 ssh ？

@fms 没启动的时候，怎么 ssh ？

@Kite6 大概就是 ssh 集成到 initramfs 里，要是树莓派的话可以看这个工具，太细节的我也都忘了，当时是以这个工具为主线搞的
https://github.com/gitbls/sdm/blob/b02faaaef698053f23ca57e9da8a122049c6cae0/Docs/Disk-Encryption.md

你多机密的数据需要加密啊？