質問: luks(または他の暗号化)パスフレーズまたはキーをtpmに保存できますか? 仕様はかなり複雑です。ソフトウェアはかなり機密性が高いので、暗号化されたボリュームに保存します。私の想定は、署名されたブートローダーのみが実行されるようにし、プライマリディスク(またはソフトウェアを含むデータのみ)を暗号化しておくために、独自のプラットフォームキーを使用したsecurebootでした。もちろん、問題は復号化キーです。 tpmに保存(バインドまたはシール)して、このプラットフォームで復号化可能にすることはできますかのみ?securebootを使用すると、変更されていないブートのみが実行され、ブートがtpmから復号化キーを読み取り、開いたときにファームウェアがワイプ(またはtpmがリセット)される何らかのセンサーがあれば、適度に安全なボックスが必要です。これは政府関係者を止めることはありませんが、偶然のひび割れを止めるはずです。これにtpmを使用できますか?どうすればいいですか?
回答: 簡単な答えはイエスです。これが私のデザインです。 securebootが有効 pkと他のすべてのキーが自分のキーに置き換えられましたのみ 不正な変更を防ぐために、信じられないほど長いパスワードで保護されたuefi ブートディスクには、暗号化されていない小さなgrubブートローダーパーティションがあります ブート.uefiファイルは私の秘密鍵によってデジタル署名されています boot .uefiは、ディスク上のluksで暗号化された他のパーティションを復号化し、tpmからキーを取得するように構成されています キーがtpmにロードされ、rom + uefi +ブートパーティション+シャーシクローズアラートがオフに設定されていない+周辺機器+ grubの現在の状態と正確に一致します このように、私のosのみがロードされます。少しでも変更を加えると、復号化キーを取得できません(ハッシュが一致しないため)。