Есть серверные платы с USB-портом прямо на мат. плате. Пихаешь туда флешку с ключом, пломбируешь корпус сервера, шифруешь ключом, записанным на флешке жесткий диск, профит.

Еще есть TPM, но как с его поддержкой в Linux - хз, сам не пользовался

Ну если туда закопировать зашифрованный файл и просто его там хранить, то не узнают. А если там эту информацию нужно обрабатывать в расшифрованном виде, то сотрудники могут что-то и расковырять со временем.

Гугли cage colocation.

Cпасибо за ответы.

пломбируешь корпус сервера
Гугли cage colocation

Это не спасет от тех, у кого есть разрешение от государства.

Пихаешь туда флешку с ключом
закопировать зашифрованный файл и просто его там хранить

Можно ли сделать так, чтобы:

1) Нельзя было получить рут-доступ к серверу, прочитать или модифицировать содержимое оперативной памяти (например, вставив в один из разъемов или портов материнской платы специальное устройство (уж не знаю, какое именно, но, думаю, они должны существовать);

2) Данные (или, по крайней мере, большая их часть) хранились в зашифрованном виде, когда их нужно обработать, расшифровывались, а результаты обработки, если они будут и их нужно будет сохранить, шифровались;

3) Файлы удалялись гарантированно (с очисткой дискового пространства);

4) При попытке вмешательства в работу сервера, мне отправлялось уведомление;

?

2) Данные (или, по крайней мере, большая их часть) хранились в зашифрованном виде, когда их нужно обработать, расшифровывались, а результаты обработки, если они будут и их нужно будет сохранить, шифровались;

Хранить - сколько угодно. Но при расшифровке/шифровке они всё равно посветятся в оперативной памяти сервера, с этим что делать будем?

Тут уже ничего не сделаешь. Но если удастся реализовать первый пункт, это проблемой не будет.

Только организацией режима доступа в помещение. Ну, там, журнал «прихода-ухода». Сигнализация с записью в журнал о времени снятия/постановки с/на сигнализацию. Опломбирование системника. Отключение usb, паролирование BIOS'а etc

Всё остальное шлак.

Легко

Для этого нужно всего лишь не обрабатывать данные на сервере - пусть они там хранятся, и достаются, а расшифровываются у «клиента».

От людей у которых есть законный доступ к инфе нет спасения. Недавно боссу объяснял. Я говорю нужно брать безопастника и чтобы он за всеми следил, кто с кем дружит, кто о чем говорит и всем улыбался... в общем в этом плане ничего нового...

Шифрованные данные храни на одном сервере, расшифровывай и обрабатывай на совершенно другом, в другом ДЦ, в другой стране. Так можно гарантировать некую относительную безопасность хранилища данных.

Но в любом случае, то место, где ты будешь расшифровывать данные для обработки (будь то сервак в ДЦ, или личный комп) останется уязвимым при физическом доступе, что, в общем-то, очевидно.

Растяжку внутрь повесь.

Набор идей на коленке:

0. Всё имеет смысл если речь идет не о облачной ВПС/ВДС а о физическом сервере на колокэйшн. В облаке при желании можно снять мгновенный слепок машины и разбирать его сколько угодно долго.

1. Выпилить из системы все порты кроме тех которые явно используются. То есть на вставленную флэшку/этхернетку и т.п работающая система не должна реагировать от слова вообще.

2. Диск с данными и системой шифруется полностью.

3. Ключ для расшифровки передается только из одного явно заданного места и ТОЛЬКО РУЧКАМИ овер шифрованное соединение.

4. Нестандартный кернел с проверкой ЛЮБЫХ изменений системы.

5. Со стандартным/модифицированным кернелом система не имеет права загрузиться. Как проверять - ваше ноухау.

6. Если изменения появились, данные тут-же под нож в цикле пока не выключат.

Всё это не спасет на 100% от получения данных с сервака, но сильно затруднит работу того кто хочет данные получить.

Совет про расшифровку в другом месте не плох, но не панацея. Проанализируют траф и сразу пойдут на второй сервак.

криптуй раздел. Ключ можно в памяти держать и придумать какой-нить хитрый скрипт который при доступе к машине через консоль этот ключ стирал.

Еще есть TPM, но как с его поддержкой в Linux - хз, сам не пользовался

Вполне нормально. Нужны разные подходы для TPM 1.2 и TPM 2.0, но, в целом, все, что нужно, работает. Есть следующие интересные проекты:

https://github.com/mjg59/tpmtotp / https://trmm.net/Tpmtotp

https://github.com/momiji/tpm-luks

АМеДе предлагает оперативку шифровать

но, по-моему, это чепушня какая-то маркетинговая...

Я стараюсь не хранить информацию на локальном компьютере.

Предпочитаю хранить её в интернете...

https://lwn.net/Articles/699820/ Secure Memory Encryption (SME) and Secure Encrypted Virtualization (SEV) Последний уже взломали. Про первый пока ничего не слышно. Поэтому пока можно сделать SME, плюс шифрование диска и TLS для внешнего мира. Чтобы получить доступ к данным нужно расколупать процессор, а это не каждое правительство способно сделать, не говоря уже о местном админе ДЦ.