{"id":121385,"date":"2025-01-17T15:46:00","date_gmt":"2025-01-17T13:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki"},"modified":"2025-01-17T15:46:00","modified_gmt":"2025-01-17T13:46:00","slug":"obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","title":{"rendered":"Kettasalvestuse kr\u00fcpteeringu m\u00f6\u00f6da hiilimine, mis kasutab TPM2 automaatseks lukust avamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00dcks NixOS-i pakette saatev isik tutvustas r\u00fcnnakutehnikat, mis v\u00f5imaldab juurdep\u00e4\u00e4su andmetele kr\u00fcpteeritud k\u00f5vaketta jaotustes, konfigureeringutes, mis ei n\u00f5ua k\u00e4ivitamisel avamisparooli sisestamist, t\u00e4nu TPM2 (Trusted Platform Module) m\u00e4\u00e4ritud teabe paigutamisele dekodeerimise jaoks. Selliseid konfigureeringuid kasutatakse sageli serverites v\u00f5i mitme kasutaja t\u00f6\u00f6jaamades, kus on probleemne iga kord p\u00e4rast taask\u00e4ivitamist manuaalselt parooli sisestada. <\/p>\n

Sellise ketta kr\u00fcpteerimise meetodi rakendamisel toimub dekodeerimine lisav\u00f5tme abil, mis on TPM-is s\u00e4ilitatud ja mille v\u00e4ljastamine toimub ainult s\u00fcsteemi algse oleku kinnitamise korral. S\u00fcsteemi olek salvestatakse PCR (Platform Configuration Register) registrite h\u00e4shedes ja seotakse digitaalallkirjaga, millega on allkirjastatud k\u00e4ivitaja, samuti alglaadurite ja alglaadimist keskkonna (initrd) kontrollsummadega. Juhtmestik TPM-is on saadaval ainult siis, kui k\u00f5ik seotud PCR-registerid on samas seisundis nagu v\u00f5tme salvestamise ajal. <\/p>\n

Eeldatakse, et operatsioonis\u00fcsteemi k\u00e4ivitamise ahel verifitseeritakse UEFI Secure Booti abil ning v\u00f5tmetele p\u00e4\u00e4seb ligi ainult muudetud initrd-pildist. Kui kontrollimine on edukas, avatakse ketas automaatselt, kuid juurdep\u00e4\u00e4s dekodeeritud andmetele on v\u00f5imalik ainult oma kasutajakontole sisse logides. Kui kasutada verifitseerimata k\u00e4ivitamist v\u00f5i proovida asendada v\u00f5i muuta initrd-d v\u00f5tmete \u00fclev\u00f5tmise eesm\u00e4rgil, rikutakse usaldusv\u00e4\u00e4rsuse ahelat, PCR-registeride olek muutub ja TPM2 ei anna vajalikke andmeid dekodeerimiseks. <\/p>\n

Avalik r\u00fcnnaku meetod v\u00f5imaldab m\u00f6\u00f6da minna initrd sisu muutmisest seadistustes, mis ei tuvastanud LUKS-i kr\u00fcpteeritud jaotusi. T\u00e4heldatakse, et sarnaste jaotuste kontrollimise lisamine ei ole k\u00f5ikides leitud kettakr\u00fcptimise seadistuse juhistes kirjeldatud, kuna jaotuse tuvastamine muudab seadistamise oluliselt keerukamaks (n\u00f5uab t\u00e4iendava PCR-registeri kaasamist ja initrd genereerimist vastavalt selle v\u00e4\u00e4rtusele). R\u00fcnnaku n\u00e4iteid on demonstreeritud Fedora Linuxis koos t\u00f6\u00f6riistakomplekti clevis ja NixOS koos systemd-cryptenrolliga. R\u00fcnnaku sooritamiseks on vajalik f\u00fc\u00fcsiline juurdep\u00e4\u00e4s arvutile ja v\u00f5imalus andmekandjat eemaldada. <\/p>\n

Meetod p\u00f5hineb sellel, et r\u00fcndaja v\u00f5ib asendada olemasoleva juur-kr\u00fcpteeritud jaotuse oma kr\u00fcpteeritud jaotusega, mis on loodud sama UUID-tuvastajaga ja r\u00fcndajale tuntud dekodeerimisv\u00f5tmetega. Initrd-keskkond edastab juhtimise init-protsessile r\u00fcndaja jaotuses. Kuna initrd sisu pole muudetud, ei rikku TPM-i seisundit ja kontrolli saades oma keskkonnas saab r\u00fcndaja kasutada TPM-i algse kettajaotuse v\u00f5tme dekodeerimiseks. <\/p>\n

R\u00fcnnak koosneb j\u00e4rgmistest sammudest: <\/p>\n