В связи с инцидентом безопасности у FirsVDS, разобрал вопрос использования VM с зашифрованным диском и его авторазблокировкой при загрузке ОС. Всё достаточно просто:
Host RHEL-base (если есть доступ, если нет пропустить и проверить поддержку вашим хостером vTPM)
dnf install swtpm swtpm-tools
virt-xml nameVM --add-device --tpm emulator,model=tpm-tis,version=2.0
VM RHEL-base
# Проверяем видит VM vTPM
ls /dev/tpm*
# Проверяем имя зашифрованного диска
lsblk
# Привязываем vTPM для авторазблокировки диска.
# Потребует ввод пароля который использовался для шифрования диска.
systemd-cryptenroll --tpm2-device=auto --tpm2-pcrs=1,7 /dev/vda**
При изменение железа на Host, диск не будет разблокирован автоматически и потребует ввода пароля в процессе загрузки. А это значит миграция VM между серверами провайдера также потребует ввод пароля при перезагрузке. Но кража Вашего зашифрованного диска не приведёт к утечке секретов. Конечно пароль шифрования диска должен быть достаточно сложным, для зашиты от перебора.
Для максимального удобства, арендуем выделенный сервер и размещаем на нём свои VM с зашифрованным диском. Собственно я так и сделал для делегатской ноды GOLOS и шлюза @xrpl.
Желаю всем безопасности и оперативного реагирования на инциденты безопасности - число которых в обозримом будущем будет только расти.
RHEL-base: RHEL 10, AlmaLinux 10, Rocky Linux 10, CentOS Stream 10, Fedora 44
