Crittografia completa del disco rispetto alla crittografia della partizione mirata per gli esperti di sicurezza?

Vorrei solo cifrare l'intero disco. C'è un sovraccarico che se non si misurano i tempi di caricamento, non si può sapere se il disco è crittografato o meno ¹ . Avere un modulo del kernel personalizzato che ispeziona ogni operazione di scrittura e reindirizza la destinazione a /home avrà sicuramente una penalizzazione maggiore sulle prestazioni.

La crittografia dell'intero disco previene la "perdita di dati", quando si salvano per errore i dati sulla partizione sbagliata e si devono spostare nel posto giusto e si elimina la sicurezza del file originale (a meno che non si disponga di SSD che renderà sicuro -eliminare inutile). Impedisce il carico mentale di memorizzare password diverse per partizioni diverse.

¹ Ho fatto un test rapido sul mio computer, usando dd iflag=direct per leggere 16 MB da un file system crittografato e un altro non crittografato, la differenza era circa il 2,5% (media tra 5 corse). Mint 19, disco rigido basato su piastra arrugginita, ext4, carico di lavoro molto basso.

Non è chiaro come si definiscono "esperti di sicurezza". Questo termine può significare cose diverse per persone diverse. Sembra più che tu stia chiedendo agli utenti Linux avanzati che sanno come creare schemi di crittografia granulari.

Come per tutto ciò che riguarda la sicurezza, dipende almeno in parte dalla minaccia che stai cercando di proteggere.

Se hai un laptop che porti ovunque e per cui sei l'unico operatore, potresti decidere di mantenerne la maggior parte o tutta crittografata. Considerando che, la postazione di lavoro presso la vostra sede di lavoro, o la vostra scatola Kodi a casa, potrebbe non richiedere lo stesso livello di sicurezza. E se ti trovi contro gli attori di livello statale, è un gioco completamente diverso da quello che vuoi proteggere dai furti casuali.

Devi anche considerare l'hardware. Le unità a stato solido non suonano particolarmente bene con la crittografia.

Su molte delle mie macchine ho un mix di unità rotative e SSD. Ho messo /var , /home e swap nelle partizioni LUKS sulle unità rotazionali più grandi e ho messo / su un SSD. Dato il mio modello di minaccia, questo sembra un buon compromesso tra ottenere il massimo dall'utilità degli SSD pur mantenendo i dati più importanti ragionevolmente sicuri.

Hai menzionato le directory come /tmp . A seconda della configurazione / distribuzione, questo sarà spesso un tmpfs, cioè verrà mantenuto in memoria. In tal caso, sarà veloce e non richiederà alcuna crittografia. Se ti trovi contro un attore che può eseguire attacchi con avvio a freddo ed estrarre il contenuto di un tmpfs, beh, suppongo che dovrai pensare a come proteggerlo.

Se ti trovi contro un attore di livello statale e non hai mai una provenienza completa sui componenti fisici del dispositivo per tutta la durata della tua vita, allora tutte le scommesse non sono attive.