Ya pasé varios días tratando de averiguar cómo descifrar de forma segura un disco duro en una ubicación remota utilizando TPM2.0 en Linux. No soy un experto en seguridad y esta es mi primera batalla con TPM2.0. Aprendí mucho, pero todavía tengo preguntas. Alguien podría ayudarme con eso:
- En el momento actual TrustedGRUB2 no admite TPM2.0, solo TPM1.2. No pude encontrar otros proyectos con soporte para TPM2.0. ¿Hay alguna?
- ¿Puede TPM2.0 detener el proceso de arranque?
El problema que estoy tratando de resolver es tal que:
- Tengo una partición
/cifrada con/bootsin cifrar - La computadora estará en las instalaciones de otra persona, por lo que no debería ser posible robar un disco duro y leer los datos
- El proceso de arranque debe ser desatendido : la máquina no debe descifrar la unidad y reiniciarse si algo cambia.
initrames posible)
Pensé en esta solución:
- La clave LUKS será el valor de PCR0
- el valor de PCR0 debería cambiar, si alguien cambia algo en la BIOS, como restablecerlo (si alguien roba la PC completa, no solo el disco), habilite el arranque USB.
- El valor de PCR0 utilizado para descifrar el disco debe ser seguro, ya que el sistema operativo que se ejecuta en él es seguro. La única forma de leer este PCR0 sin cambios sin cambiar la BIOS es obtener acceso al sistema operativo, ¿verdad?
Creo que logré un nivel en el que puedo hacer una pregunta legítima sobre este tema, pero no puedo evaluar las implicaciones o los agujeros en esto. Ayuda, por favor :)
Saludos cordiales
Kamil