From 1d28156c21131925e09e20170cae7900cd407539 Mon Sep 17 00:00:00 2001 From: xf0r3m Date: Thu, 29 Aug 2024 10:41:59 +0200 Subject: [PATCH] =?utf8?q?Artyku=C5=82=20o=20odblokowaniu=20cryptroot=20pr?= =?utf8?q?zez=20TPM,=20sprawdzono=20pod=20k=C4=85tem=20b=C5=82=C4=99d?= =?utf8?q?=C3=B3w=20oraz=20przeredagowano.?= MIME-Version: 1.0 Content-Type: text/plain; charset=utf8 Content-Transfer-Encoding: 8bit --- ..._modulu_TPM_do_odblokowania_cryptroot.html | 37 +++++++++++++------ 1 file changed, 26 insertions(+), 11 deletions(-) diff --git a/articles/linux/wykorzystanie_modulu_TPM_do_odblokowania_cryptroot.html b/articles/linux/wykorzystanie_modulu_TPM_do_odblokowania_cryptroot.html index 18db81a..ceab5b2 100644 --- a/articles/linux/wykorzystanie_modulu_TPM_do_odblokowania_cryptroot.html +++ b/articles/linux/wykorzystanie_modulu_TPM_do_odblokowania_cryptroot.html @@ -18,13 +18,13 @@ ☠ morketsmerke ☠

-

Wykorzystanie modułu TPM 1.2 do odblokowania cryptroot

+

Wykorzystanie modułu TPM do odblokowania cryptroot

Myślałem, że na zdalnym odblokowywaniu cryptroot seria się skończy, ale - rodziła się potrzeba stworzenia laptopa do zdalnej pomocy, przyczym - system na tym laptopie miałbyć jak najbardziej bezobsługowy. To jest + rodziła się potrzeba stworzenia laptopa do zdalnej pomocy, przy czym + system na tym laptopie miał być jak najbardziej bezobsługowy. To jest użytkownik końcowy ma go tylko włączyć i już jak system się załaduje to - załóżmy pomocnik działu IT, powinien już się z nim połączyć. Kiedy + załóżmy konsultant działu IT, powinien już się z nim połączyć. Kiedy rozwiązano wszystkie inne problemy - takie jak wybór sposóbu udostępnienia zdalnego pulpitu. Pozostał problem ochrony klucza prywatnego VPN, ze zdjętym hasłem. Dla nas sprawa wydaje się oczywista. @@ -59,10 +59,11 @@ xf0r3m@romek:~$ sudo dmesg | grep "TPM" może nasza platforma nie posiada modułu TPM (większość, komputerów profesjonalnych takich jak Lenovo TP, Dell Latitude czy komputerów stacjonarnych takich jak HP Z Workstations posiada moduł TPM w wersji - zależnej od wieku sprzętu). + zależnej od wieku sprzętu). W BIOS-ach mogą one nazywać się przeróżnie + od Security Chip po Embedded Security Device Support.

- W przypadku modułów TPM w wersji niższej niż 2.0. Może być problem z + W przypadku modułów TPM w wersji niższej niż 2.0, może być problem z oprogramowaniem pozwalającym obsługiwać moduł TPM w dzisiejszych wersjach dystrybucji. Jednym z takich programów jest clevis - modularny framework do automatyzacji @@ -88,7 +89,7 @@ xf0r3m@romek:~$ sudo apt install ./clevis-initramfs_20-1+tpm1_amd64.deb \ ./clevis-luks_20-1+tpm1_amd64.deb ./clevis_20-1+tpm1_amd64.deb

- Po zainstalowaniu oprogramowania, może zainicjować moduł TPM. Za pomocą + Po zainstalowaniu oprogramowania, można zainicjować moduł TPM. Za pomocą odpowiedniego polecenia. Polecenie zarząda od nas ustawienia sobie hasła właściciela:

@@ -109,12 +110,13 @@ Confirm password: do naszej zaszyfrowanej partycji. 

-xf0r3m@romek:~$ sudo clevis luks bind -d /dev/sdb5 tpm1 '{"pcr_ids":"0,4,7"}'                                                                                                                                                           
+xf0r3m@romek:~$ sudo clevis luks bind -d /dev/sdb5 tpm1 '{"pcr_ids":"0,4,7"}' 
 Enter existing LUKS password:

Polecenie powinno zakończyć się bez żadnych dodatkowych komunikatów. - Wartości PCR_IDS są wskaźnikami status bezpieczeństwa. Ich wartości + Wartości PCR_IDS są wskaźnikami status bezpieczeństwa. Ich + wartości pozwalają ustalić czy TPM działa w zaufanym środowisku. Jeśli któraś z wartości nie jest zgodna z oczekiwaniami - moduł TPM, może odmówić wydania klucza kryptograficznego. @@ -148,8 +150,8 @@ done

Teraz możemy uruchomić ponownie komputer. Kiedy przyjdzie do odblokowania - dysku. Program poprosi nas o hasło, ale po chwili powinien pojawić się - komunikat, że dysk został odblokowany przez clevis. + partycji. Program poprosi nas o hasło, ale po chwili powinien pojawić się + komunikat, że partycja został odblokowana przez clevis. 

 Please unlock disk sda5_crypt:Unlocked /dev/sdb5 with clevis
@@ -175,6 +177,19 @@ test
       pendrive-a nic nie da. TPM sprawdzi wartość rejestru nr. 4 i jeśli nie
       uruchomiliśmy komputera z prawidłowego dysku to nie wyda klucza.
     

+    

+      Źródła:
+    

+    
+    

+      ~ xf0r3m
+

2024; COPYLEFT; ALL RIGHTS REVERSED; -- 2.39.5