RAM へのサスペンドが機能し、RAM へのサスペンド時にすべてが暗号化された状態になるように、システムを暗号化するには (lvm + dm-crypt/luks を使用するのが最適) どうすればよいでしょうか?
答え1
あなたが求めているのは、RAM の電源をオンにしたまま、他のすべてをシャットダウンする単純なサスペンド トゥ RAM ではありません。RAM からクリアテキストのプロセス データを消去するため、それをすべてサスペンド イメージにマーシャリングする必要があります。そのため、ハイバネーション (つまり、サスペンド トゥ ディスク) コードを呼び出す必要があります。これを行う現実的な方法は、暗号化された RAM ディスクを作成し、それをスワップ領域として宣言し、メモリを他のプロセスで埋めることです。それでもカーネル データは暗号化されません。それを行うには、かなり大きなカーネル パッチが必要になると思います。
一方、ディスクにサスペンドするのであれば、この問題は解決されます。ハイバネーション イメージはスワップ スペースに保存されます。セキュリティ要件を考慮すると、スワップ スペースは既に暗号化されているはずです。ランダムなキーではなく、既知のキーで暗号化されていることを確認してください (暗号化されたスワップを使用する一部のセットアップでは、/dev/randomスワップ スペースのキー ファイルとしてスワップが使用され、起動ごとにキーが異なり、ハイバネーション イメージを再開できなくなります)。主要なディストリビューションでは、暗号化されたスワップ スペースからの再開を含め、すぐにハイバネーションがサポートされるはずです。
答え2
チェックアウトtpm-luks：https://github.com/shpedoikal/tpm-luks
暗号化キーはコンピュータの信頼できるプラットフォーム モジュールに保存されます。
もう一つの選択肢はトレゾアは、CPU レジスタを使用して秘密鍵を保存します。