{"id":121385,"date":"2025-01-17T15:46:00","date_gmt":"2025-01-17T13:46:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki"},"modified":"2025-01-17T15:46:00","modified_gmt":"2025-01-17T13:46:00","slug":"obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/novosti-interneta\/obhod-diskovogo-shifrovaniya-ispolzuyushhego-tpm2-dlya-avtomaticheskoj-razblokirovki","title":{"rendered":"Oborrimi i enkriptimit t\u00eb diskut duke p\u00ebrdorur TPM2 p\u00ebr \u00e7el\u00ebs automatik","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nj\u00eb nga ndihm\u00ebsit e pakove n\u00eb NixOS prezantoi nj\u00eb teknik\u00eb sulmi, e cila lejon qasjen n\u00eb t\u00eb dh\u00ebnat n\u00eb parti t\u00eb diskove t\u00eb enkriptuar, n\u00eb konfigurime q\u00eb nuk k\u00ebrkojn\u00eb hyrje t\u00eb fjal\u00ebkalimit p\u00ebr \u00e7eljen gjat\u00eb ngarkimit, fal\u00eb vendosjes n\u00eb TPM2 (Moduli i Platform\u00ebs t\u00eb Besueshme) t\u00eb informacionit p\u00ebr dekriptimin. K\u00ebto konfigurime shpesh p\u00ebrdoren n\u00eb server\u00eb ose punostacione shum\u00eb p\u00ebrdoruesish, ku \u00ebsht\u00eb problematik t\u00eb futet manualisht fjal\u00ebkalimi pas \u00e7do rinisjeje. <\/p>\n
Kur aplikohet nj\u00eb metod\u00eb e till\u00eb e enkriptimit t\u00eb disqeve, dekriptimi kryhet duke p\u00ebrdorur nj\u00eb \u00e7el\u00ebs shtes\u00eb, i ruajtur n\u00eb TPM dhe i l\u00ebshuar vet\u00ebm pas konfirmimit t\u00eb gjendjes origjinale t\u00eb sistemit. Gjendja e sistemit ruhet si hash n\u00eb regjistrat PCR (Regjistrat e Konfigurimit t\u00eb Platform\u00ebs) dhe \u00ebsht\u00eb e lidhur me nj\u00eb n\u00ebnshkrim digjital, me t\u00eb cilin \u00ebsht\u00eb validuar ngarkuesi, si dhe me kontrollsumat e ngarkuesit dhe ambientit t\u00eb par\u00eb t\u00eb ngarkimit (initrd). Qasja n\u00eb \u00e7el\u00ebsin n\u00eb TPM sigurohet vet\u00ebm kur t\u00eb gjith\u00eb regjistrat e lidhur me t\u00eb jan\u00eb n\u00eb t\u00eb nj\u00ebjtin gjendje si kur u ruajt \u00e7el\u00ebsi. <\/p>\n
Kjo n\u00ebnkupton se zinxhiri i ngarkes\u00ebs s\u00eb sistemit operativ verifikohet p\u00ebrmes UEFI Secure Boot dhe qasje n\u00eb \u00e7el\u00ebsat mund t\u00eb merret vet\u00ebm nga nj\u00eb imazh initrd t\u00eb pa modifikuar. Pas nj\u00eb verifikimi t\u00eb suksessh\u00ebm, disku automatikisht \u00e7elzohet, por akses n\u00eb t\u00eb dh\u00ebnat e dekriptuara mund t\u00eb merret vet\u00ebm p\u00ebrmes identifikimit n\u00eb llogarin\u00eb tuaj n\u00eb sistem. Kur t\u00eb k\u00ebrkoni pa nj\u00eb ngarkes\u00eb t\u00eb verifikuar ose kur t\u00eb p\u00ebrpiqeni t\u00eb z\u00ebvend\u00ebsoni ose t\u00eb b\u00ebni ndryshime n\u00eb initrd me q\u00ebllim q\u00eb t\u00eb kapni \u00e7el\u00ebsat, zinxhiri i besimit do t\u00eb prish\u00eb, gjendja e regjistrave PCR do t\u00eb ndryshoj\u00eb dhe TPM2 nuk do t\u00eb jap\u00eb informacionin e nevojsh\u00ebm p\u00ebr dekriptime. <\/p>\n
Metoda e publikuar e sulmit lejon kalimin pa modifikimin e p\u00ebrmbajtjes initrd n\u00eb konfigurimet q\u00eb nuk identifikojn\u00eb pjes\u00ebt e koduara LUKS. V\u00ebrehet se p\u00ebrfshirja e nj\u00eb kontrolli t\u00eb till\u00eb p\u00ebr pjes\u00ebt nuk p\u00ebrshkruhet n\u00eb t\u00eb gjitha udh\u00ebzimet e gjetura p\u00ebr konfigurimin e enkriptimit t\u00eb diskut, pasi identifikimi i pjes\u00ebs e komplikon duksh\u00ebm konfigurimin (k\u00ebrkohet angazhimi i nj\u00eb regjistri t\u00eb shtuar PCR p\u00ebr verifikimin e \u00e7el\u00ebsit t\u00eb pjes\u00ebs dhe gjenerimi i initrd me parasysh vler\u00ebn e tij). Shembuj t\u00eb realizimit t\u00eb sulmit jan\u00eb demonstruar p\u00ebr Fedora Linux n\u00eb lidhje me mjetin clevis dhe p\u00ebr NixOS n\u00eb lidhje me systemd-cryptenroll. P\u00ebr t\u00eb realizuar sulmin k\u00ebrkohet akses fizik n\u00eb kompjuter dhe mund\u00ebsia p\u00ebr t\u00eb nxjerr\u00eb ruajt\u00ebsin. <\/p>\n
Metoda bazohet n\u00eb faktin se sulmuesi mund t\u00eb z\u00ebvend\u00ebsoj\u00eb seksionin ekzistues t\u00eb rr\u00ebnj\u00ebs t\u00eb enkriptuar me nj\u00eb seksion t\u00eb ri t\u00eb enkriptuar, t\u00eb krijuar me t\u00eb nj\u00ebjtin UUID dhe \u00e7el\u00ebsa dekryptimi t\u00eb njohur p\u00ebr sulmuesin. Ambienti initrd do t\u00eb kaloj\u00eb kontrollin te procesi init n\u00eb seksionin e sulmuesit. Duke qen\u00eb se p\u00ebrmbajtja initrd nuk \u00ebsht\u00eb modifikuar, gjendja e TPM nuk do t\u00eb prish\u00ebt dhe, duke marr\u00eb kontrollin n\u00eb ambientin e tij, sulmuesi mund t\u00eb p\u00ebrdor\u00eb TPM p\u00ebr t\u00eb dekryptuar \u00e7el\u00ebsin e seksionit origjinal t\u00eb diskut. <\/p>\n
Sulmi p\u00ebrb\u00ebhet nga hapat e m\u00ebposht\u00ebm: <\/p>\n
\n
Nxjerrja e diskut dhe analiza e t\u00eb dh\u00ebnave t\u00eb paenkriptuara n\u00eb seksionin \/boot n\u00eb nj\u00eb kompjuter tjet\u00ebr. P\u00ebrcaktimi i informacionit mbi seksionin e enkriptuar dhe UUID t\u00eb tij nga imazhi initrd, i cili ndodhet n\u00eb seksionin \/boot.\n
Krijimi i nj\u00eb kopje rezerv\u00eb t\u00eb 64MB t\u00eb par\u00eb t\u00eb seksionit te enkriptuar LUKS.\n
Z\u00ebvend\u00ebsimi i atyre 64MB me nj\u00eb imazh q\u00eb ka seksionin e tij t\u00eb rr\u00ebnj\u00ebs, t\u00eb enkriptuar me nj\u00eb \u00e7el\u00ebs t\u00eb njohur p\u00ebr sulmuesin dhe duke pasur UUID t\u00eb nj\u00ebjt\u00eb si seksioni i vjet\u00ebr.\n
Rikthimi i diskut n\u00eb kompjuterin origjinal dhe ngarkimi me nj\u00eb ndarje rr\u00ebnj\u00ebsore t\u00eb z\u00ebvend\u00ebsuar. Duke qen\u00eb se zhbllokimi automatik me \u00e7el\u00ebsin nga TPM p\u00ebr ndarjen e z\u00ebvend\u00ebsuar p\u00ebrfundon n\u00eb d\u00ebshtim, initrd tregon nj\u00eb k\u00ebrkes\u00eb p\u00ebr futje manuale t\u00eb fjal\u00ebkalimit.\n
Marrja e \u00e7el\u00ebsit origjinal nga TPM, duke p\u00ebrdorur metadatat p\u00ebr TPM dhe nj\u00eb token t\u00eb enkriptuar nga krye-lidhja LUKS e ndarjes s\u00eb vjet\u00ebr.\n
Ribashkimi i diskut n\u00eb kompjuterin e sulmuesit, rikthimi i pjes\u00ebs s\u00eb rikthyer t\u00eb ndarjes LUKS nga nj\u00eb kopje rezerv\u00eb dhe p\u00ebrdorimi i \u00e7el\u00ebsit origjinal t\u00eb marr\u00eb p\u00ebr qasje n\u00eb t\u00eb dh\u00ebna. <\/ul>\n