Для чего шифровать /boot раздел?

Разве что от атаки «сосед по комнате»: достаточно любопытный, чтобы залезть в машину, но достаточно ленивый, чтобы заморачиваться подменой загрузчика и, тем более, залезанием в железо.

Насколько я понял, опасность только в том что злоумышленник может подсунуть кейлоггер в /boot и тем самым получить пароль от диска.

Да, но это не самый простой вариант, плюс оставляет следы. Я бы решал такую проблему скрытым видеонаблюдением и прослушкой — пароль не слишком сложно восстановить по звукам клавиш. Так что, если не рассматриваются столь сильно мотивированные злоумышленники, особого смысла создавать себе неудобства нет.

Сценарии которые меня интересуют:

1. десктоп с диском выдан во временное пользование, его когда то нужно вернуть вместе с диском, который может внезапно навернуться
2. десктоп и диск мои, диск на гарантии и накрылся, надо сдать
3. десктоп или диск в выключенном состоянии украден

Во всех трех сценариях незашифрованный /boot ничем злоумышленнику не поможет, пароля он не получит, доступ к руту, свапу и хоум соответственно тоже.

Если первый пункт «десктоп выдан тебе», то верно — по всем трем сценариям шифрованный бут не нужен.

Во всех трех сценариях незашифрованный /boot ничем злоумышленнику не поможет, пароля он не получит, доступ к руту, свапу и хоум соответственно тоже.

Изменив ядро/initrd, злоумышленник может запустить на твоем ноуте что угодно, включая трояны, которые отправят твою приватную информацию по сети. Не так ли?

Что приватного в перечисленных сценариях получит злоумышленник? Хедер LUKS? Так пусть развлекается.

Если настроен Secure Boot, то смысл есть. Убунтовский shim подписан микрософтовскими ключами, он проверит подпись grub-а, т.е. подменить ничего не получится. Насколько я знаю, в убунте intiramfs никак не подписывается и не проверяется, т.е. при незашифрованном /boot и включенном secure boot этот любопытный сможет подменить initramfs, а при зашифрованном /boot - не сможет.

Понятно, что без Secure Boot это всё даёт очень ограниченную защиту и тут действительно смысла шифровать /boot нет.

Другой вопрос, что пользоваться какой-то мутной инструкцией 6-летней давности я бы не стал.

Все что захочет, включая содержимое /home, т.к. получит доступ к системе на уровне ядра

Какой опасный злоумышленник… Фу таким быть!

Насколько я знаю, в убунте intiramfs никак не подписывается и не проверяется

В 24.04 уже был доступен вариант установки с поддержкой TPM и подписанным всем, что не зашифровано. Без костылей из GRUB. Всё как у нормальных людей, в общем.

Ключа от раздела с LVM у злоумышленника нет, что он вводить будет для его расшифровки с запущенного ядра?

Ты сам введёшь ключ после того, как хакер подложит тебе зловредскй initrd

Тут главный вопрос в том, входит ли такой сценарий в модель угроз. Защита от evil maid — это хорошо, когда она есть по умолчанию и не требует усилий для настройки (как в Windows, Android). Но заморачиваться с ней самостоятельно (и с вероятностью 98% реализовать неправильно) я лично не вижу смысла, если ты не очень важная персона, а если да, то безопасностью твоей должны заниматься профессионалы.

А зашифрованный бут ему как помешает то?

А зашифрованный бут ему как помешает то?

Шифрование должно гарантировать целостность всего раздела при условии, что ядро подписано, а устройство использует Secure Boot.

Если в разделе boot(efi) находится и используется только подписанное ядро(UKI), либо все загружаемые компоненты подписаны, то шифрование становится бессмысленным.

Вообще, тема безопасности сложная, я легко могу ошибаться, или упускать какие-то нюансы. Я говорил именно о том, что возможность модифицировать ядро или что-то на его уровне позволяет получить полный доступ к системе.

Шифрование должно гарантировать целостность

Шифрование LUKS обычно обеспечивает только конфиденциальность. Аутентифицируемое шифрование делается с помощью dm-integrity. На мой взгляд, практичнее для целей аутентификации использовать Btrfs поверх LUKS (вообще жду поддержки fscrypt, чтобы избавиться от FDE).

Без bootguard, secureboot и проверки всей цепочки можно с самого начала вредонос подложить и никакое шифрование не спасет.