루트가 쓸 수 없는(또는 다시 마운트할 수 없는) 읽기 전용 암호화 파티션을 만들 수 있습니까?

읽기 전용으로 마운트하려는 암호화된 파티션이 있습니다. 문제는 루트 사용자가 암호화 키가 없으면 읽기-쓰기로 파티션을 다시 마운트할 수 없도록 하고 싶다는 것입니다. 루트가 일반적으로 모든 작업(메모리 덤프에서 암호화 키 재생성 포함)을 수행할 수 있다는 것을 알고 있지만 cryptsetup에는 --readonly 옵션이 있습니다.

--readonly, -r
          set up a read-only mapping.

읽기 전용 옵션은 어떻게 작동하나요? foo가 읽기 전용으로만 마운트될 수 있도록 /dev/mapper/foo 장치를 생성합니까? 이렇게 하면 루트가 장치를 읽기-쓰기로 다시 매핑하는 것을 방지할 수 있습니까(루트에 암호화 키가 없다고 가정). 그렇지 않다면 이를 달성할 수 있는 방법이 있습니까?

루트가 메모리에서 암호화 키를 추출하거나 읽기 전용 데이터를 임시 위치에 복사하고, 암호화된 장치를 다시 포맷하고, 읽기 전용 데이터를 읽기/쓰기 장치에 다시 복사하는 것을 방지할 수 있는 방법이 없습니다. 내가 막으려는 것은 그런 것입니다 mount -o rw /dev/mapper/foo /mnt.