ディスク暗号化によるプリブート認証は技術的にどのように機能しますか?

Question 1

ディスク全体が暗号化されていて、プリブートツールがユーザーに暗号化解除キーを要求する場合、このツールは起動する OS の下で実行する必要があるということではないでしょうか?

はい、ほぼそうです。ハードウェアベースのフルディスク暗号化暗号化はデバイス (ハードディスク/フラッシュ) によって完全に処理されるか、物理デバイスにつながるチェーン上のコントローラによって処理され、OS からは「見えません」。
これにより、OS は、暗号化されていないプレーンなデバイスを扱っている場合とまったく同じように I/O を実行し、魔法はハードウェア (および/またはファームウェア - いずれにせよ OS の「下」) で発生します。

そのようなツールがない場合、復号化ツールは起動時に何らかの方法で復号化情報を OS に渡す必要があるのではないでしょうか?

暗号化を OS の「下」で実行できない場合 (上記のように、または仮想化技術を使用して実行することもできますが、その場合、2 つ (またはそれ以上) の OS が実行されることになります)、確かに何らかの形式の情報転送が必要になります。つまり、OS 間の
暗号化は困難です。ハードウェア/ファームウェアのサポートがない場合は、ブートストラップコード (少なくともブートローダー) を暗号化解除する必要もあります。

ウィキペディアディスク暗号化これについては記事で詳しく説明しています。

Answer

ディスク全体が暗号化されていて、プリブートツールがユーザーに暗号化解除キーを要求する場合、このツールは起動する OS の下で実行する必要があるということではないでしょうか?

はい、ほぼそうです。ハードウェアベースのフルディスク暗号化暗号化はデバイス (ハードディスク/フラッシュ) によって完全に処理されるか、物理デバイスにつながるチェーン上のコントローラによって処理され、OS からは「見えません」。
これにより、OS は、暗号化されていないプレーンなデバイスを扱っている場合とまったく同じように I/O を実行し、魔法はハードウェア (および/またはファームウェア - いずれにせよ OS の「下」) で発生します。

そのようなツールがない場合、復号化ツールは起動時に何らかの方法で復号化情報を OS に渡す必要があるのではないでしょうか?

暗号化を OS の「下」で実行できない場合 (上記のように、または仮想化技術を使用して実行することもできますが、その場合、2 つ (またはそれ以上) の OS が実行されることになります)、確かに何らかの形式の情報転送が必要になります。つまり、OS 間の
暗号化は困難です。ハードウェア/ファームウェアのサポートがない場合は、ブートストラップコード (少なくともブートローダー) を暗号化解除する必要もあります。

ウィキペディアディスク暗号化これについては記事で詳しく説明しています。

Question 2

暗号化されたドライブに対するハードウェア (または、より正確にはファームウェア、つまり BIOS) のサポートがある場合は、ファームウェアを使用してディスク全体を暗号化できます。これを行うには欠点があります。ディスク暗号化をサポートするコンピューターは多くなく、特定のファームウェアに縛られてしまいます (さらに悪いことに、コンピューターに TPM があり、暗号化キーが TPM 内にある場合は、ストレージ暗号化キーをバックアップしていない限り、特定のマザーボードに縛られてしまいます)。

オペレーティングシステムが暗号化を行う場合、ディスク上には暗号化されていない小さな領域がなければなりません。そこにオペレーティングシステムの初期部分が保存されます。Linux の一般的な構成では、別のクリアテキスト/bootパーティションを用意し、他のすべてのパーティションを暗号化します。「フルディスク暗号化」は少々誤った名称です。通常は「フルボリューム暗号化」の意味で使用され、ボリュームは通常ディスクではなくパーティションです。フルディスク暗号化とは、すべてのファイル (または少なくともディレクトリツリー) を個別に暗号化しないことです。

Linuxでは、フルディスク暗号化の標準ツールは暗号化すべての主要なディストリビューションで利用可能であり、多くのインストーラーに統合されています。

Answer

暗号化されたドライブに対するハードウェア (または、より正確にはファームウェア、つまり BIOS) のサポートがある場合は、ファームウェアを使用してディスク全体を暗号化できます。これを行うには欠点があります。ディスク暗号化をサポートするコンピューターは多くなく、特定のファームウェアに縛られてしまいます (さらに悪いことに、コンピューターに TPM があり、暗号化キーが TPM 内にある場合は、ストレージ暗号化キーをバックアップしていない限り、特定のマザーボードに縛られてしまいます)。

オペレーティングシステムが暗号化を行う場合、ディスク上には暗号化されていない小さな領域がなければなりません。そこにオペレーティングシステムの初期部分が保存されます。Linux の一般的な構成では、別のクリアテキスト/bootパーティションを用意し、他のすべてのパーティションを暗号化します。「フルディスク暗号化」は少々誤った名称です。通常は「フルボリューム暗号化」の意味で使用され、ボリュームは通常ディスクではなくパーティションです。フルディスク暗号化とは、すべてのファイル (または少なくともディレクトリツリー) を個別に暗号化しないことです。

Linuxでは、フルディスク暗号化の標準ツールは暗号化すべての主要なディストリビューションで利用可能であり、多くのインストーラーに統合されています。

Question 3

はい、Grub2 では/bootパーティションを LUK で暗号化できます。

/boot/LUKs暗号化パーティション上のフォルダとして
/bootパーティション上で暗号化されたLUK
Linux では、ソートされていないブロックリストをデバイスとして使用できるため、ルートにすることができます (initramfs は、このようなソートされていないブロックリストを構成するのは非常に複雑ですが、実行可能です。これは、偏執的な方法です)。

/boot私はまた、複数のレイヤーで暗号化する（パーティションの場合）という偏執的な方法もテストしました。

/dev/sda5ディスク上の唯一の論理パーティションとして（2つの拡張パーティションとのみを持つ/bootMBR /）
上に/dev/sda5LUKレベル1を配置し、/dev/mapper/level_0001
上に/dev/mapper/level_0001LUKレベル2を配置し、/dev/mapper/level_0002
上に/dev/mapper/level_0002LUKレベル3を配置し、/dev/mapper/level_0003
そして、/dev/mapper/level_####私はLUKレベルを上に置き####+1、マッピングします/dev/mapper/level_####+1
上に/dev/mapper/level_3436LUKレベル3437を配置し、/dev/mapper/level_3436
上に/dev/mapper/level_3437Ext4をマウントして/boot
/boot実行後にGrub2をインストールしますecho GRUB_CRYPTODISK_ENABLE=y >> /etc/default/grub
LUKのレベルを1つだけ設定/dev/sda6します/

起動時に 3437 種類のパスワードの入力を求められますが、それぞれ 32 文字以上を使用します。

これは単なる概念実証であり、起動時間はひどいです。

しかし、同じことをすると/、すべてのシステムの読み取り/書き込み速度もひどくなりますが、少なくとも Linux は動作します。1 万レベル以上でテストしたところ、部分的に動作し、CPU での読み取り/書き込み速度は 10KiB/秒 (はい、本当にひどいです) まで低下し、起動には丸一日かかり、オンラインアクセス (サーフィンなど) を行うとディスクタイムアウトが原因でアプリケーションが頻繁にクラッシュする傾向があります。

したがって、3 または 4 レベルの LUK を配置することは許容されますが、10 レベルを配置することも許容されます。これは、CPU と、CPU とディスク、3D レンダリングと巨大なデータスクランブルなど、使用する用途によって大きく異なります。

PD: また、LUK の各レベルで異なるハッシュ関数とアルゴリズムを使用することもできます。また、マウント時間を長くするために使用することもできます--iter-time=#(警告: Grub2 のプリブートでは、マウント時間が 3 倍または 4 倍長くなります。1 万程度の値を使用すると、プリブートで 30 秒近くかかります)。

Answer