sha1 de tous les binaires de /bin:/usr/bin et al, c'est déja une garantie. Si l'un change je serai averti.

sinon pas mal le port knocking.