Я, конечно, могу смонтировать файловую систему и все файлы в ней как 700, но мне нужно что-то еще более надежное. Допустим, кто-то каким-то образом проникнет в мою систему. Он сможет прочитать что угодно и где угодно, включая... скажем... файл конфигурации с идентификаторами и секретами. Возможно, он сможет найти id_rsaили личные данные пользователя.
Если существует способ, с помощью которого процесс может получить доступ к файловой системе, только если он прошел аутентификацию в ядре, или имеет криптографический ключ, или произнес волшебное слово, то любая другая инкарнация root — даже если кто-то заставит мой процесс это сделать exec bash— не сможет увидеть ни один из секретов, которые повысили бы его доступ.
Предоставляет ли Linux способ сделать это? Я не знаю, сколько места у нас есть для перемещения потенциально конфиденциальных файлов, но я должен иметь возможность заменить их ссылками на зашифрованную файловую систему.