他の誰かによってインストールされた暗号化された（dm-crypt＆LUKS）Ubuntu 12.04のセキュリティ？
フルディスク暗号化を使用したUbuntuセットアップ（12.04とします）が必要だとします。 Ubuntuは、インストール時にオプションとしてこれを提供します。
また、誰か（ベンダーなど）がこれを設定していて、事前定義された暗号化パスワード（およびもちろん他のすべてのパスワード）を含む完成したシステムのみを取得するとします。
この人が確実に暗号化パスワード（および場合によっては他のパスワード）を変更した場合でも、デバイス上の暗号化されたデータへのアクセスを維持できる方法はありますか？
（SSHキーやルートシェルをインストールしたり、外部からコマンドを受信するためにデーモンにパッチを適用したりするような通常のバックドアについては話していません。特に、フルディスク暗号化を対象とし、必要なしに閉じることができないバックドアについて話していることに注意してください。システム全体を再インストールまたは再暗号化します。）
たとえば、TrueCryptを使用すると、暗号化されたハードディスクの最初のセクターを保存できます（または保存できました）。これは、マスターキーの暗号化にパスワードのみを使用するため（データの暗号化に使用されるため）、両方のパスワードを置き換えるとパスワードの変更後にこれらのセクターを置き換えることで暗号化されたマスターキーを使用すると、暗号化パスワードの変更を実質的に元に戻すことができます。
Dm-crypt/LUKSでこのようなことが可能ですか？そうでない場合、同様のものはありますか？
はい、もちろん。ベンダーはマスターキーを保持するだけです。 LUKSヘッダーのバックアップ。このキーはパスワードを変更しても変更されないため、すべてのデータへのフルアクセスが可能です。したがって、ここでは完全に信頼に依存しています。バックドアやその他すべてがその上にあります。
マンページに加えて、Cryptsetup FAQは良い読み物です：
http://code.google.com/p/cryptsetup/wiki/FrequentlyAskedQuestions
それはあらゆる種類の抜け穴をカバーします。あなたの質問はそこでも答えられます6.7バックアップはセキュリティを危険にさらしますか？
私はベンダーではありませんが、その場合は、マスターキーのバックアップをサービスとして保持することを検討します。私がコンピューターに精通していない人に売ると、彼らはパスワードを忘れて、助けを求めて私に来るかもしれません。そして、マスターキーを持つことがそのような場合に役立つ唯一の方法であり、LUKSをブルートフォースすることはできません。これは、数百万の可能性に絞り込むことができる場合にのみ可能です（つまり、パスフレーズを多かれ少なかれ知っているが、どちらかわからない場合）。使用したバリアント）。もちろん、これを行う場合は、正直に言う必要があります。
システムを信頼できるようにしたい場合は、常に自分でセットアップする必要があります。これには、データセンターやその他すべての種類のイメージインストールサービスが含まれます。