GNOME Shell 和 Pango 庫的創建者以及 Fedora for Workstations 開發工作組的成員 Owen Taylor 提出了一項對 Fedora Workstation 中的系統分區和用戶主目錄進行預設加密的計劃。 預設切換到加密的好處包括在筆記型電腦被盜時保護資料、防止無人值守設備受到攻擊以及開箱即用地保持機密性和完整性，而無需進行不必要的操作。
按照準備好的計畫草案，他們計畫使用Btrfs fscrypt進行加密。 對於系統分區，加密金鑰計畫儲存在TPM模組中，並與數位簽章結合使用，用於驗證引導程式、核心和initrd的完整性（即在系統開機階段，使用者不需要輸入解密系統分割區的密碼）。 加密主目錄時，計劃根據使用者的登入名稱和密碼產生金鑰（加密的主目錄將在使用者登入時連接）。
該計劃的實施時間取決於該發行版向統一核心映像UKI（統一核心映像）的過渡，該映像將用於從UEFI（UEFI 啟動存根）載入核心的處理程序、Linux 核心映像和initrd 系統環境合併在一個檔案中載入到記憶體中。 如果沒有 UKI 支持，就無法保證 initrd 環境內容的不變性，在該環境中，解密 FS 的金鑰是確定的（例如，攻擊者可以替換 initrd 並模擬密碼請求；為了避免這種情況，可以使用在安裝FS 之前需要驗證下載整個鏈）。
在目前形式中，Fedora 安裝程式可以選擇使用 dm-crypt 在區塊層級加密分割區，使用不與使用者帳戶綁定的單獨密碼。 該解決方案突出了多用戶系統中不適合單獨加密、缺乏對國際化和殘疾人工具的支援、透過引導程式欺騙進行攻擊的可能性（攻擊者安裝的引導程式可以冒充原始引導程式）等問題。並請求解密密碼），需要在initrd中支援framebuffer來提示輸入密碼。
來源： opennet.ru