解决方案：关于如何保护系统分区
背景介绍
您是一位Galaxy S9的用户，并希望安装LineageOS 15.1 ROM并进行加密。在解锁Bootloader与清空原生Galaxy S9固件后，通过TWRP刷入了LineageOS及进行了数据分区分区加密操作。然而，问题在于只有数据分区被加密而系统分区未被保护。
关键点
- 系统分区（/system）中包含的是已公开的标准ROM文件，这些文件的内容都是在公共领域可获取的。
- 在Android操作系统下，数据分区（/data）应进行加密处理来保护用户隐私资料；同时/系统分区是只读模式，并未进行加密操作。
问题与解答
您可能认为加密整个手机可以间接保护系统、应用等关键固件或配置文件的安全。但实际上，在解锁 Bootloader 后，设备的完整性检查如Boot Verification不会执行，因此加密机制（具体来说就是设备上的 dm-verity 系统）无法强制其有效性。
解决方案分析：
- 无需加密系统的概念
由于大多数智能手机中的系统分区包含的是标准ROM文件或第三方可获取的应用程序代码，而这些信息并不是私密数据。因此，对它们进行加密不仅没有必要性也不能显著提升安全性。
dm-verity的使用
- 盗者窃铃铛（Verifying Boot, VB）功能与 dm-verity 机制在安全保证方面共同运作。在解锁Bootloader后的设备上，尽管无法通过传统的方式执行整个验证流程以保持所有数据的保密性，我们可以考虑其他方法来确保/系统分区的安全性。
这种方法包括手动启动某些守护进程（Daemon）作为init.rc的一部分进行定期检测和修复系统的完整性问题。这种方法可能过于复杂且不易实施。
第三方应用安装
- 由于您已经通过TWRP成功安装了另一个应用程序到/system分区并且重启后运行正常，您可以利用这种方式在特定情况下增强/系统分区的安全性或提供额外的软件保护措施，但这主要是为了使用第三方工具以确保其他部分不受侵害而不是直接加密。
结论
总体来看，在已解锁Bootloader的情况下，依赖于dm-verity及verifying boot机制来保障ROM的整体安全依然是不可行的。但在您的具体案例中，安装第三方应用作为绕过措施是您已经实施的做法之一。为了进一步提升设备某些领域的安全性，建议继续关注并采用非传统加密解决方案或者寻找其他可信度高的防护方法。
请确保所采取的所有保护措施不违反官方文档与厂商推荐实践，亦不受法律及隐私政策约束的前提下予以使用。
正文完