Nj\u00eb nga paketat shoq\u00ebruese n\u00eb NixOS prezantoi nj\u00eb teknik\u00eb sulmi q\u00eb lejon qasjen n\u00eb t\u00eb dh\u00ebna n\u00eb pjes\u00ebt e diskut t\u00eb enkriptuara, n\u00eb konfigurimet q\u00eb nuk k\u00ebrkojn\u00eb futje t\u00eb fjal\u00ebkalimit p\u00ebr \u00e7eljen gjat\u00eb ngarkimit, fal\u00eb vendosjes n\u00eb TPM2 (Trusted Platform Module) t\u00eb informacionit p\u00ebr deshifrimin. K\u00ebto konfigurime shpesh p\u00ebrdoren n\u00eb server\u00eb ose stacione t\u00eb pun\u00ebs multi-p\u00ebrdorues, ku \u00ebsht\u00eb e v\u00ebshtir\u00eb t\u00eb futet manualisht fjal\u00ebkalimi pas \u00e7do rinisjeje. <\/p>\n
Kur aplikohet nj\u00eb metod\u00eb e till\u00eb p\u00ebr enkriptimin e disqeve, deshifrimi kryhet duke p\u00ebrdorur nj\u00eb \u00e7el\u00ebs shtes\u00eb, t\u00eb ruajtur n\u00eb TPM dhe q\u00eb jepet vet\u00ebm me konfirmimin e gjendjes fillestare t\u00eb sistemit. Gjendja e sistemit ruhet n\u00eb form\u00ebn e hash-eve n\u00eb regjistrat PCR (Platform Configuration Register) dhe lidhet me nj\u00eb n\u00ebnshkrim digjital, me t\u00eb cilin \u00ebsht\u00eb v\u00ebrtetuar ngarkuesi, si dhe me shum\u00ebn kontrolluese t\u00eb ngarkuesit dhe mjedisit t\u00eb ngarkimit fillestar (initrd). Qasja n\u00eb \u00e7el\u00ebsin n\u00eb TPM jepet vet\u00ebm kur t\u00eb gjitha regjistrat e lidhur me t\u00eb jan\u00eb n\u00eb t\u00eb nj\u00ebjt\u00ebn gjendje si\u00e7 ishte kur u ruajt \u00e7el\u00ebsi. <\/p>\n
Kuptohet se zinxhiri i ngarkimit t\u00eb sistemit operativ verifikohet p\u00ebrmes UEFI Secure Boot dhe qasja n\u00eb \u00e7el\u00ebsat mund t\u00eb merret vet\u00ebm nga nj\u00eb imazh initrd i pamodifikuar. Pas nj\u00eb verifikimi t\u00eb suksessh\u00ebm, disku automatikisht \u00e7elhet, por qasja n\u00eb t\u00eb dh\u00ebnat e deshifruara mund t\u00eb merret vet\u00ebm p\u00ebrmes hyrjes n\u00eb llogarin\u00eb tuaj n\u00eb sistem. Kur provoni qasjen pa ngarkes\u00eb t\u00eb v\u00ebrtetuar ose p\u00ebrpiquni t\u00eb z\u00ebvend\u00ebsoni ose b\u00ebni ndryshime n\u00eb initrd me q\u00ebllim kapjen e \u00e7el\u00ebsave, zinxhiri i besimit do t\u00eb prish\u00eb, gjendja e regjistrave PCR do t\u00eb ndryshoj\u00eb dhe TPM2 nuk do t\u00eb dor\u00ebzoj\u00eb informacionin e nevojsh\u00ebm p\u00ebr deshifrimin. <\/p>\n
Metoda e publikuar e sulmit lejon q\u00eb t\u00eb kaloj\u00eb pa ndryshuar p\u00ebrmbajtjen e initrd n\u00eb konfiguracionet q\u00eb nuk identifikojn\u00eb ndarjet e koduara LUKS. Vihet re se p\u00ebrfshirja e nj\u00eb verifikimi t\u00eb till\u00eb p\u00ebr ndarjet nuk p\u00ebrshkruhet n\u00eb t\u00eb gjitha udh\u00ebzimet e gjetura p\u00ebr konfigurimin e enkriptimit t\u00eb disqeve, pasi identifikimi i ndarjes e komplikon ndjesh\u00ebm konfigurimin (k\u00ebrkohet angazhimi i nj\u00eb regjistri PCR shtes\u00eb p\u00ebr verifikimin e \u00e7el\u00ebsit t\u00eb ndarjes dhe gjenerimi i initrd duke marr\u00eb parasysh vler\u00ebn e tij). Shembujt e realizimit t\u00eb sulmit jan\u00eb demonstruar p\u00ebr Fedora Linux n\u00eb bashk\u00ebpunim me mjetet clevis dhe p\u00ebr NixOS n\u00eb bashk\u00ebpunim me systemd-cryptenroll. P\u00ebr t\u00eb realizuar sulmin nevojitet akses fizik n\u00eb kompjuter dhe mund\u00ebsia p\u00ebr t\u00eb nxjerr\u00eb ruajt\u00ebsin. <\/p>\n
Metoda bazohet n\u00eb faktin se sulmuesi mund t\u00eb z\u00ebvend\u00ebsoj\u00eb ndarjen ekzistuese t\u00eb koduar t\u00eb rr\u00ebnj\u00ebs me nj\u00eb ndarje t\u00eb koduar t\u00eb tij\u00ebn, t\u00eb krijuar me identifikuesin UUID t\u00eb nj\u00ebjt\u00eb dhe \u00e7el\u00ebsat e njohur t\u00eb dekriptimit nga sulmuesi. Ambienti initrd do t'i kaloj\u00eb kontrollin procesit init n\u00eb ndarjen e sulmuesit. Duke qen\u00eb se p\u00ebrmbajtja e initrd nuk \u00ebsht\u00eb ndryshuar, gjendja e TPM nuk do t\u00eb thyen dhe, duke marr\u00eb kontrollin n\u00eb ambientin e tij, sulmuesi mund t\u00eb p\u00ebrdor\u00eb TPM p\u00ebr t\u00eb dekriptuar \u00e7el\u00ebsin e ndarjes origjinale t\u00eb disqeve. <\/p>\n
Sulmi p\u00ebrb\u00ebhet nga hapat e m\u00ebposht\u00ebm: <\/p>\n
\n
Nxjerrja e diskut dhe kryerja e analiz\u00ebs s\u00eb t\u00eb dh\u00ebnave t\u00eb pa enkriptuara n\u00eb ndarjen \/boot n\u00eb nj\u00eb kompjuter tjet\u00ebr. Identifikimi i informacionit mbi ndarjen e koduar dhe identifikuesin e saj UUID nga imazhi initrd q\u00eb ndodhet n\u00eb ndarjen \/boot.\n
Z\u00ebvend\u00ebsimi i k\u00ebtyre 64MB me nj\u00eb imazh t\u00eb ndarjes s\u00eb tij t\u00eb rr\u00ebnj\u00ebs, e koduar duke p\u00ebrdorur \u00e7el\u00ebsin e njohur p\u00ebr sulmuesin dhe q\u00eb ka identifikuesin UUID si ndarja e vjet\u00ebr.\n
Rikthimi i diskut n\u00eb kompjuterin origjinal dhe ngarkimi me ndarjen e z\u00ebvend\u00ebsuar t\u00eb rr\u00ebnj\u00ebs. Pasi zhbllokimi automatik duke p\u00ebrdorur \u00e7el\u00ebsin nga TPM p\u00ebr ndarjen e z\u00ebvend\u00ebsuar d\u00ebshtoi, initrd jep nj\u00eb k\u00ebrkes\u00eb p\u00ebr futjen manuale t\u00eb fjal\u00ebkalimit.\n
Shkarkimi i \u00e7el\u00ebsit origjinal nga TPM, duke p\u00ebrdorur metadatat mbi TPM dhe tokenin e enkriptuar nga titulli LUKS i ndarjes s\u00eb vjet\u00ebr.\n
Rikthimi i disku n\u00eb kompjuterin e sulmuesit, rikthimi i pjes\u00ebs s\u00eb riparuar t\u00eb ndarjes LUKS nga kopja rezerv\u00eb dhe p\u00ebrdorimi i \u00e7el\u00ebsit origjinal t\u00eb marr\u00eb p\u00ebr akses n\u00eb t\u00eb dh\u00ebna. <\/ul>\n