{"id":121385,"date":"2025-01-17T15:46:00","date_gmt":"2025-01-17T13:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki"},"modified":"2025-01-17T15:46:00","modified_gmt":"2025-01-17T13:46:00","slug":"obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","title":{"rendered":"Diski kr\u00fcpteerimise ringk\u00e4ik, mis kasutab TPM2 automaatseks avamiseks","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00dcks NixOS-i pakette saatvatest arendajatest tutvustas r\u00fcnnetehnika, mis v\u00f5imaldab juurde p\u00e4\u00e4seda andmetele kr\u00fcpteeritud kettahaldustes, konfiguratsioonides, mis ei n\u00f5ua k\u00e4ivitamisel parooli sisestamist, t\u00e4nu TPM2 (Trusted Platform Module) salvestatud teabele dekr\u00fcpteerimiseks. T\u00f5en\u00e4oliselt kasutatakse selliseid konfiguratsioone serverites v\u00f5i mitme kasutajaga t\u00f6\u00f6jaamades, kus on keeruline p\u00e4rast iga taask\u00e4ivitamist k\u00e4sitsi parooli sisestada. <\/p>\n

Seda t\u00fc\u00fcpi kettashifri kasutamisel toimub de\u0161ifreerimine t\u00e4iendava v\u00f5tme abil, mis on salvestatud TPM-is ja v\u00e4ljastatakse ainult siis, kui s\u00fcsteemi algne olek on kinnitatud. S\u00fcsteemi olek salvestatakse ringleva PCR (Platform Configuration Register) registrisse jahutamishashidena ja sideme alla digitaalallkirjaga, millega on allkirjastatud alglaadija, samuti kontrollsummadega alglaadija ja esialgse laadimisosa (initrd) kohta. TPM-is on v\u00f5tmele juurdep\u00e4\u00e4s lubatud ainult siis, kui k\u00f5ik sellega seotud PCR registrid on samas olekus nagu v\u00f5tme salvestamise ajal. <\/p>\n

Eeldatakse, et operatsioonis\u00fcsteemi laadimisprotsess kinnitatakse UEFI Secure Booti kaudu ning juurdep\u00e4\u00e4s v\u00f5tmetele on saadaval ainult muutmata initrd pildist. Kui kontroll on edukas, lukustatakse tahtmatult ketas, kuid juurdep\u00e4\u00e4s dekr\u00fcpteeritud andmetele on v\u00f5imalik ainult l\u00e4bi oma s\u00fcsteemikonto. Kui \u00fcritatakse ligi p\u00e4\u00e4seda ilma kinnitatud laadimiseta v\u00f5i kui proovitakse asendada v\u00f5i muuta initrd, et v\u00f5tmeid tabada, rikutakse usaldusv\u00e4\u00e4rsuse kett ning PCR-registeride seisund muutub, mist\u00f5ttu TPM2 ei anna dekr\u00fcptimiseks vajalikke andmeid. <\/p>\n

Avalikustatud r\u00fcnnakumeetod v\u00f5imaldab v\u00e4ltida initrd sisu muutmist konfiguratsioonides, mis ei tuvastanud LUKS-i kr\u00fcpteeritud jaotusi. T\u00e4heldatakse, et sarnaste jaotuste kontrollimise kaasamine ei ole kirjas k\u00f5igis leitud juhistes kettakr\u00fcpteerimise seadistamiseks, kuna jaotuse identifitseerimine muudab konfiguratsiooni oluliselt keerulisemaks (on vajalik t\u00e4iendava PCR registreerimise kaasamine ja initrd genereerimine selle v\u00e4\u00e4rtuse arvesse v\u00f5tmisega). R\u00fcnnaku n\u00e4iteid on demonstreeritud Fedora Linuxis koos t\u00f6\u00f6riistakogumiga clevis ja NixOS-is koos systemd-cryptenrolliga. R\u00fcnnaku tegemiseks on vajalik f\u00fc\u00fcsiline juurdep\u00e4\u00e4s arvutile ja salvestusseadme eemaldamise v\u00f5imalus. <\/p>\n

Meetod p\u00f5hineb sellel, et r\u00fcndaja v\u00f5ib asendada olemasoleva juurkr\u00fcpteeritud jaotise enda loodud kr\u00fcpteeritud jaotisega, millel on sama UUID-identifikaator ja r\u00fcndajale teadaolevad dekr\u00fcpteerimisv\u00f5tmed. Initrd-keskkond edastab juhtimise init-protsessile r\u00fcndaja jaotises. Kuna initrd sisu ei ole muutunud, ei rikuta TPM-i olekut ja r\u00fcndaja saab oma keskkonnas TPM-i kasutada algse kettajaotise v\u00f5tme dekr\u00fcpteerimiseks. <\/p>\n

R\u00fcnnak koosneb j\u00e4rgmistest sammudest: <\/p>\n