Buen día, actualmente estoy planeando un entorno en el que se reduce el mayor riesgo de seguridad al iniciar en otro entorno y manipular la instalación en el disco (las PC más antiguas con acceso físico a la caja son accesibles al público ). Como las contraseñas de la BIOS son poco disuasorias y las PC no tienen TPM por lo que yo sé, ¿qué recomendaría usted para que la instalación sea a prueba de manipulaciones? Actualmente estoy pensando en el cifrado de dispositivo de bloque completo (LUKS) que incluye la carpeta / boot. ¿Debería ser esto suficiente? De esta manera, aunque sea capaz de arrancar desde otro dispositivo, el disco de instalación no debería ser un problema, ¿correcto? Gracias de antemano
EDITAR: Solo para aclarar, las PC están bajo vigilancia y en gabinetes, por lo que adjuntar un keylogger de hardware no pasará fácilmente desapercibido. Arrancar desde un USB y manipular la instalación, este es el gran problema. Los ataques avanzados, como la modificación del firmware de BIOS / UEFI, probablemente no ocurran (entorno escolar), lo que constituye una gran preocupación para los registradores de teclado por software.
EDIT2: Más aclaraciones: las PC están en un gabinete como este:
------------
PC de escritorio
------------
Con la parte superior cubierta. Los teclados están enchufados en la parte posterior, por lo que para acceder al teclado USB, tendría que quitar todo el escritorio del gabinete. La vigilancia no se supervisa constantemente, pero si se encuentra un keylogger (o una brecha de seguridad) sería muy fácil ver dónde y cuándo sucedió esto (la identificación no es un problema, ya que es un entorno escolar, como el calibre de los atacantes. Ataques avanzados no debería ser un problema, lo más probable es que el keylogger ocasional y la instalación de modificación). Dado que la vigilancia no es en la medida en que la actividad en la pantalla se pueda supervisar, se puede iniciar en otro entorno y el trabajo puede pasar fácilmente desapercibido. El entorno propuesto es una instalación de Linux que ejecuta una VM de Windows no persistente, por lo que una vulnerabilidad del sistema operativo no debería ser un problema desde el interior de Windows y la instalación de Linux ejecutaría un usuario sin privilegios, por lo que el daño no se limita a casi nada. Pero, si el Linux instalado puede ser manipulado antes de que arranque, todo va al infierno. Esta es la razón por la que veo que evitar la manipulación de la instalación de Linux es el mayor problema.