{"id":121385,"date":"2025-01-17T15:46:00","date_gmt":"2025-01-17T13:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki"},"modified":"2025-01-17T15:46:00","modified_gmt":"2025-01-17T13:46:00","slug":"obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","title":{"rendered":"A TPM2-t haszn\u00e1l\u00f3 lemezk\u00f3dol\u00e1s megker\u00fcl\u00e9se az automatikus felold\u00e1s \u00e9rdek\u00e9ben","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Az egyik k\u00eds\u00e9r\u0151csomag a NixOS-ban bemutatta azt a t\u00e1mad\u00e1si technik\u00e1t, amely lehet\u0151v\u00e9 teszi az adatv\u00e9dett lemezk\u00e9pekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9st, olyan konfigur\u00e1ci\u00f3kban, amelyek nem ig\u00e9nyelnek jelsz\u00f3t a felold\u00e1shoz rendszerind\u00edt\u00e1skor, a TPM2 (Trusted Platform Module) \u00e1ltal t\u00e1rolt dek\u00f3dol\u00e1si inform\u00e1ci\u00f3k r\u00e9v\u00e9n. Az ilyen konfigur\u00e1ci\u00f3kat gyakran haszn\u00e1lj\u00e1k szervereken vagy t\u00f6bbfelhaszn\u00e1l\u00f3s munka\u00e1llom\u00e1sokon, ahol neh\u00e9z a k\u00e9zi jelsz\u00f3be\u00edr\u00e1s minden \u00fajraind\u00edt\u00e1s ut\u00e1n. <\/p>\n
Az ilyen t\u00edpus\u00fa lemezmeghajt\u00f3k titkos\u00edt\u00e1si m\u00f3dszere alkalmaz\u00e1sakor a dek\u00f3dol\u00e1s egy tov\u00e1bbi kulcs seg\u00edts\u00e9g\u00e9vel t\u00f6rt\u00e9nik, amelyet a TPM t\u00e1rol, \u00e9s amelyet csak a rendszer eredeti \u00e1llapot\u00e1nak meger\u0151s\u00edt\u00e9sekor ad ki. A rendszer \u00e1llapota hashek form\u00e1j\u00e1ban ker\u00fcl t\u00e1rol\u00e1sra a PCR (Platform Configuration Register) regiszterekben, \u00e9s digit\u00e1lis al\u00e1\u00edr\u00e1shoz van k\u00f6tve, amely a bet\u00f6lt\u0151t hiteles\u00edti, valamint a bet\u00f6lt\u0151 \u00e9s az indul\u00f3 bet\u00f6lt\u00e9si k\u00f6rnyezet (initrd) ellen\u0151rz\u0151 \u00f6sszegeihez. <\/p>\n
Felt\u00e9telezhet\u0151, hogy az oper\u00e1ci\u00f3s rendszer bet\u00f6lt\u00e9si l\u00e1nca az UEFI Secure Boot seg\u00edts\u00e9g\u00e9vel van ellen\u0151rizve, \u00e9s a kulcsokhoz csak a m\u00f3dos\u00edtatlan initrd k\u00e9pb\u0151l lehet hozz\u00e1f\u00e9rni. A sikeres ellen\u0151rz\u00e9s eset\u00e9n a lemez automatikusan felold\u00f3dik, de a dek\u00f3dolt adatokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s csak a felhaszn\u00e1l\u00f3i fi\u00f3kba val\u00f3 bel\u00e9p\u00e9s ut\u00e1n lehets\u00e9ges. Ellen\u0151rizetlen bet\u00f6lt\u00e9s eset\u00e9n, vagy ha megpr\u00f3b\u00e1lj\u00e1k megv\u00e1ltoztatni vagy m\u00f3dos\u00edtani az initrd-t a kulcsok elkobz\u00e1s\u00e1nak c\u00e9lj\u00e1b\u00f3l, a bizalmi l\u00e1nc megszakad, a PCR regiszterek \u00e1llapota megv\u00e1ltozik, \u00e9s a TPM2 nem adja ki a dek\u00f3dol\u00e1shoz sz\u00fcks\u00e9ges inform\u00e1ci\u00f3kat. <\/p>\n
A k\u00f6zz\u00e9tett t\u00e1mad\u00e1si m\u00f3dszer lehet\u0151v\u00e9 teszi, hogy ne kelljen m\u00f3dos\u00edtani az initrd tartalm\u00e1t az LUKS titkos\u00edtott part\u00edci\u00f3kat nem azonos\u00edt\u00f3 konfigur\u00e1ci\u00f3kban. Megjegyzend\u0151, hogy az ilyen part\u00edci\u00f3k ellen\u0151rz\u00e9s\u00e9nek aktiv\u00e1l\u00e1sa nem szerepel az \u00f6sszes megtal\u00e1lt lemeztitkos\u00edt\u00e1si be\u00e1ll\u00edt\u00e1si \u00fatmutat\u00f3ban, mivel a part\u00edci\u00f3 azonos\u00edt\u00e1sa jelent\u0151sen bonyol\u00edtja a konfigur\u00e1ci\u00f3t (tov\u00e1bbi PCR regiszter sz\u00fcks\u00e9ges a part\u00edci\u00f3 kulcs\u00e1nak ellen\u0151rz\u00e9s\u00e9hez \u00e9s az initrd gener\u00e1l\u00e1s\u00e1hoz annak \u00e9rt\u00e9k\u00e9vel figyelembe v\u00e9ve). A t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1nak p\u00e9ld\u00e1it a Fedora Linux eset\u00e9ben a clevis eszk\u00f6z\u00f6kkel, valamint a NixOS eset\u00e9ben a systemd-cryptenroll-lal mutatj\u00e1k be. A t\u00e1mad\u00e1s v\u00e9grehajt\u00e1s\u00e1hoz fizik\u00e1lis hozz\u00e1f\u00e9r\u00e9s sz\u00fcks\u00e9ges a sz\u00e1m\u00edt\u00f3g\u00e9phez \u00e9s a t\u00e1rol\u00f3 kiemel\u00e9s\u00e9nek lehet\u0151s\u00e9ge. <\/p>\n
A m\u00f3dszer azon alapul, hogy a t\u00e1mad\u00f3 helyettes\u00edtheti a megl\u00e9v\u0151, titkos\u00edtott gy\u00f6k\u00e9rpart\u00edci\u00f3t egy saj\u00e1t titkos\u00edtott part\u00edci\u00f3val, amely ugyanazzal az UUID-azonos\u00edt\u00f3val \u00e9s a t\u00e1mad\u00f3 \u00e1ltal ismert dek\u00f3dol\u00f3 kulcsokkal k\u00e9sz\u00fclt. Az initrd k\u00f6rnyezet \u00e1tadja az ir\u00e1ny\u00edt\u00e1st a t\u00e1mad\u00f3 \u00e1ltal kezelt init folyamatnak. Mivel az initrd tartalma nem v\u00e1ltozott, a TPM \u00e1llapota nem s\u00e9r\u00fcl, \u00e9s a t\u00e1mad\u00f3 a saj\u00e1t k\u00f6rnyezet\u00e9ben haszn\u00e1lhatja a TPM-et az eredeti lemeztitkos\u00edt\u00e1si kulcs dek\u00f3dol\u00e1s\u00e1ra. <\/p>\n
A t\u00e1mad\u00e1s a k\u00f6vetkez\u0151 l\u00e9p\u00e9sekb\u0151l \u00e1ll: <\/p>\n
\n
A lemez kiemel\u00e9se \u00e9s az arra az \u00fan. sz\u00e1m\u00edt\u00f3g\u00e9pre t\u00f6rt\u00e9n\u0151 \u00e1tkonvert\u00e1l\u00e1sa, ahol a \/boot part\u00edci\u00f3n tal\u00e1lhat\u00f3 titkos\u00edtatlan adatok elemz\u00e9se v\u00e9gezhet\u0151. Az inform\u00e1ci\u00f3k meghat\u00e1roz\u00e1sa a titkos\u00edtott part\u00edci\u00f3r\u00f3l \u00e9s annak UUID-azonos\u00edt\u00f3j\u00e1r\u00f3l az initrd k\u00e9pb\u0151l, amely a \/boot part\u00edci\u00f3n tal\u00e1lhat\u00f3.\n
A titkos\u00edtott LUKS-part\u00edci\u00f3 els\u0151 64 MB-j\u00e1nak biztons\u00e1gi m\u00e1solat\u00e1nak l\u00e9trehoz\u00e1sa.\n
A megadott 64 MB helyettes\u00edt\u00e9se egy k\u00e9ppel, amely saj\u00e1t gy\u00f6k\u00e9rpart\u00edci\u00f3t tartalmaz, titkos\u00edtva a t\u00e1mad\u00f3 \u00e1ltal ismert kulccsal, \u00e9s az UUID-azonos\u00edt\u00f3ja megegyezik a r\u00e9gi part\u00edci\u00f3\u00e9val.\n
A lemez visszahelyez\u00e9se az eredeti sz\u00e1m\u00edt\u00f3g\u00e9pbe \u00e9s a m\u00f3dos\u00edtott gy\u00f6k\u00e9rpart\u00edci\u00f3n val\u00f3 ind\u00edt\u00e1s. Mivel a TPM-b\u0151l sz\u00e1rmaz\u00f3 kulcs automatikus felold\u00e1sa a m\u00f3dos\u00edtott part\u00edci\u00f3 eset\u00e9ben nem siker\u00fcl, az initrd k\u00e9rd\u00e9st k\u00fcld a jelsz\u00f3 k\u00e9zi be\u00edr\u00e1s\u00e1ra.\n
Az eredeti kulcs lek\u00e9r\u00e9se a TPM-b\u0151l, a TPM metaadatok \u00e9s a r\u00e9gi part\u00edci\u00f3 LUKS-\u00e9lb\u0151l sz\u00e1rmaz\u00f3 titkos\u00edtott token felhaszn\u00e1l\u00e1s\u00e1val.\n
A lemez \u00e1tt\u00e9tele a t\u00e1mad\u00f3 sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9re, a fel\u00fcl\u00edrt LUKS-part\u00edci\u00f3 r\u00e9sz\u00e9nek helyre\u00e1ll\u00edt\u00e1sa a biztons\u00e1gi m\u00e1solatb\u00f3l, \u00e9s a megkapott eredeti kulcs felhaszn\u00e1l\u00e1sa az adatok el\u00e9r\u00e9s\u00e9re. <\/ul>\n