GNOME Shell 和 Pango 库的创建者以及 Fedora for Workstations 开发工作组的成员 Owen Taylor 提出了一项对 Fedora Workstation 中的系统分区和用户主目录进行默认加密的计划。 默认情况下切换到加密的好处包括在笔记本电脑被盗时保护数据、防止无人值守设备受到攻击以及开箱即用地保持机密性和完整性，而无需进行不必要的操作。
按照准备好的计划草案，他们计划使用Btrfs fscrypt进行加密。 对于系统分区，加密密钥计划存储在TPM模块中，并与数字签名结合使用，用于验证引导加载程序、内核和initrd的完整性（即在系统引导阶段，用户不需要输入解密系统分区的密码）。 加密主目录时，计划根据用户的登录名和密码生成密钥（加密的主目录将在用户登录时连接）。
该计划的实施时间取决于发行版向统一内核映像 UKI（统一内核映像）的过渡，该映像将用于从 UEFI（UEFI 启动存根）加载内核的处理程序、Linux 内核映像和 initrd 系统环境合并在一个文件中加载到内存中。 如果没有 UKI 支持，就无法保证 initrd 环境内容的不变性，在该环境中，解密 FS 的密钥是确定的（例如，攻击者可以替换 initrd 并模拟密码请求；为了避免这种情况，可以使用在安装 FS 之前需要验证下载整个链）。
在当前形式中，Fedora 安装程序可以选择使用 dm-crypt 在块级别加密分区，使用不与用户帐户绑定的单独密码。 该解决方案突出了多用户系统中不适合单独加密、缺乏对国际化和残疾人工具的支持、通过引导加载程序欺骗进行攻击的可能性（攻击者安装的引导加载程序可以冒充原始引导加载程序）等问题并请求解密密码），需要在initrd中支持framebuffer来提示输入密码。
来源： opennet.ru