La clave aquí es privacidad vs integridad.
Si su volumen de datos (/ home, / var / log y cualquier otra cosa con datos confidenciales) está encriptado, principalmente está asegurando la privacidad, mientras que para / boot desea asegurarse de que no se coloque ningún código malicioso (integridad) . Tenga en cuenta que esto no implica que deba estar cifrado. / boot casi nunca requiere cifrado real, ya que no almacena datos privados / privilegiados. Voy a suponer que ha bloqueado el arranque desde dispositivos externos (USB).
Después del código UEFI / BIOS, el primer fragmento de código ejecutado en su sistema que controla es el gestor de arranque (por ejemplo, grub), que lee los archivos de configuración (que pueden tener parámetros de seguridad como no permitir la edición de la opción de arranque), y luego su kernel + initrd, también almacenado en / boot. Se necesitará un adversario decidido para:
- Obtenga acceso físico a su computadora portátil
- Retire el disco duro sin que se dé cuenta de que se ha eliminado y reemplazado
- Reemplace la configuración / kernel / initrd de Grub / grub con una versión maliciosa (por ejemplo, que captura pulsaciones de teclas, carga demonios ocultos o incluso inicia un hipervisor para encapsular todo su sistema operativo)
- Y se lo devolvemos sin signos de alteración, pérdida de rendimiento, errores aleatorios o aviso de que se ha perdido.
Aunque es factible. Si está en este nivel de paranoia en lugar de simplemente mantener su volumen de datos oculto de la búsqueda aleatoria y la incautación, entonces debe buscar en una configuración de arranque completamente confiable. Eso es mucho trabajo.
Una simple mitigación sería, una vez que se inicie el sistema, verifique que los hashes de todos los archivos en / boot sean los esperados comparándolos con una línea de base anterior de hashes almacenada en su volumen cifrado. Esta es una medida posterior al hecho de que / boot ha sido comprometido, pero al menos lo sabrá, y deberá actualizar la línea de base cada vez que actualice archivos en / boot (por ejemplo, nueva versión del kernel / new grub opciones de seguridad).
Cualquier otra garantía requerirá mucho más trabajo. Trusted Boot en Linux / * nix es notoriamente complicado.