Forum Debian Users Gang

Potrzebne rejestry mogą być takie same i dla win i dla linux'a, przez co będziesz miał problemy, bo albo rejestry nie będą pasować do win albo do linux'a, więc jednego z tych dwóch systemów możesz nie być w stanie odpalić -- podobny problem, który dawniej w konfiguracji BIOS-MBR był z bootloader'em.

Druga sprawa, to po co ci w ogóle LUKS, skoro hasło do niego będzie podbierane z TPM, przez co system ci się będzie uruchamiał bez jakiegokolwiek zabezpieczenia? Czyli jak ukradnę ci laptopa, to automatycznie się odszyfruje, bo hasło system wydobędzie z TPM. Nie zbyt rozumiem to zabezpieczenie i jaką ono miałoby przewagę względem braku LUKS i nieszyfrowania danych? xD

TPM + secure boot ma jakiś tam jeszcze sens, bo będziesz w stanie zabezpieczyć kernel i initramfs. Sam secure boot na linux jest też pozbawiony sensu, bo obraz initramfs nie jest w żaden sposób zabezpieczony, przez co można sobie tam wgrać cokolwiek.

Generalnie to jeden system + TPM+ secure boot + hasło do LUKS.

Zaszyfrować TPM'em? xD

TPM to tylko mechanizm weryfikacyjny (ma rejestry i pewne wartości w nich, które są uzupełniane, np. przy aktualizacji systemu i weryfikowane podczas startu systemu). Tam możesz też zaszyć hasełka/klucze, w tym ten do LUKS. Niemniej jednak w dalszym ciągu hasło do LUKS jest w nagłówku samego kontenera i będziesz w stanie ręcznie otworzyć kontener na dowolnym systemie. Po prostu TPM robi to za ciebie automatycznie, tak jakbyś sobie zapisał do hasło w pliku i podał w skrypcie ten plik, tylko z tą różnicą, że do sekretu w TPM ciężko jest uzyskać dostęp.

Co do yubikey, to nie wiem bo nie mam. xD TPM mam w wersji v1. a wszystko teraz wymaga TPM v2, także trza by poczytać. Tak z grubsza, to yubikey ma zabezpieczać "coś" na wypadek ataków zdalnych. Zajebiście się sprawdza przy 2FA na necie ale raczej żaden z niego pożytek gdy masz go obok kompa, który ma on niby chronić. xD

Wygląda na to, że opracowali yubikey-luks , który to potrafi robić za 2FA przy odszyfrowaniu kontenera LUKS -- czyli podajesz poprawne hasło do LUKS i wsadzasz yubikey i ci odszyfruje. Więc technicznie raczej byłoby wykonalne takie zabezpieczenie na bazie TPM-YK-LUKS, gdzie sekret do kontenera byłby w TPM, 2FA w YK i TPM podczas startu podawał składową hasła, a YK składową 2FA i kontener tylko wtedy by został odszyfrowany i boot kontynuowany. Ale to tylko teoria -- jakbym miał jakaś nowocześniejszą maszynę z TPM2 i klucz YK, to bym to sprawdził. xD

Ostatnio edytowany przez morfik (2024-11-11 08:53:25)

TPM i Secure Boot są niezależne od siebie, tj. jeden system może działać w konfiguracji TPM+SB, a drugi w konfiguracji SB. By skonfigurować TPM, to trzeba wypełnić w nim rejestry z poziomu działającego systemu. Nie wiem jak na windows sie TPM konfiguruje, ale na linux musisz tam parę poleceń w terminal wpisać, żeby TPM zaczął weryfikować kernel i initramfs podczas startu systemu.

Generalnie ja bym ci odradzał bawienie się TPM przy dwóch systemach, będziesz miał problemy. xD

Ostatnio edytowany przez morfik (2024-11-11 09:01:42)