Win 和 Linux 双系统，可以分别启用全盘加密吗？

[yfang]

Win 下边就是 bitlocker
Linux 下面还没有研究，但记得过名词 luk 之类的

bitlocker 加密 C 盘，关闭安全启动
EFI 公用
这样 OK 吗？

THX~

[sky96111]

可以。Linux luks2 ，Windows bitlocker 。
Linux 选择有引导器签名的发行版如 Fedora ，安全启动不用关。有 tpm 的话 Linux 可以上 systemd-cryptsetup 注册密钥，体验和 Windows 一致（但降低了安全性）

[linuxgo]

双系统做全盘加密，那一个系统加密了，另一个系统就访问不了硬盘了呀

[yfang]

@linuxgo 确切是想 Window 系统分区用 bitlocker ，Linux 分区用 luks2
我不清楚 EFI 分区要怎么处理……

@sky96111 THX ，我虚拟机试一下~，这里的降低安全性（ ystemd-cryptsetup 注册密钥）是指哪方面/场合的？

[sky96111]

@yfang Windows 默认加密磁盘后通过 TPM 解密磁盘，然后通过用户登录密码来阻止非法侵入。
磁盘已经解密，解密的密钥在内存中。而系统登录的过程很脆弱，可能存在漏洞，也可能受到雷电或 PCI 设备替换造成 DMA 攻击，导致解密密钥泄漏。

Linux 加密磁盘后默认不会通过 TPM 解密，你需要输入两个密码才能开机（解密磁盘、用户登录）。
systemd-cryptsetup 将密钥注册到 TPM ，就把上述的安全问题引入进来了。

所以更推荐不要使用 TPM 来释放密钥，而是设置 gdm 自动登录。这样开机只要输入一个磁盘解密的密码，避免了多次输入密码也保障了安全性。