Meu objetivo é criptografar a partição raiz e proteger a chave com TPM. Eventualmente, quero bloquear a chave de criptografia no estado dos registros TPM. Configurei o Fedora Workstation 38 - durante o assistente de configuração, marquei a caixa para criptografar a unidade e forneci uma frase de recuperação - funcionou conforme o esperado - durante a fase de inicialização, fui solicitada uma senha para desbloquear a chave LUKS. Abaixo está a saída de lsblk -pf.
lsblk -pf
NAME FSTYPE FSVER LABEL UUID FSAVAIL FSUSE% MOUNTPOINTS
/dev/sr0
/dev/zram0 [SWAP]
/dev/vda
├─/dev/vda1
├─/dev/vda2 ext4 1.0 b8d2cbbf-0f44-4487-bccf-74d9365ec383 647M 27% /boot
└─/dev/vda3 crypto_LUKS 2 08ab0fc7-5a6b-421c-be8a-d6171761a3e6
└─/dev/mapper/luks-08ab0fc7-5a6b-421c-be8a-d6171761a3e6
btrfs fedora_localhost-live 09d81602-3093-4a76-8c56-d9562197cdb9 13.2G 27% /home
Em seguida, matriculei o TPM:
sudo systemd-cryptenroll --tpm2-device=auto /dev/vda3
New TPM2 token enrolled as key slot 1.
Neste ponto tenho dois keylots: 0 - senha e 1 - TPM.
Em seguida, atualizei o /etc/crypttab:
luks-08ab0fc7-5a6b-421c-be8a-d6171761a3e6 UUID=08ab0fc7-5a6b-421c-be8a-d6171761a3e6 - tpm2-device=auto
Em seguida, recarreguei systemd systemctl daemon-reload, abaixo está o arquivo de serviço atualizado.
sudo systemctl cat systemd-cryptsetup@luks\\x2d08ab0fc7\\x2d5a6b\\x2d421c\\x2dbe8a\\x2dd6171761a3e6.service
[Unit]
Description=Cryptography Setup for %I
Documentation=man:crypttab(5) man:systemd-cryptsetup-generator(8) man:[email protected](8)
SourcePath=/etc/crypttab
DefaultDependencies=no
IgnoreOnIsolate=true
After=cryptsetup-pre.target systemd-udevd-kernel.socket
Before=blockdev@dev-mapper-%i.target
Wants=blockdev@dev-mapper-%i.target
Conflicts=umount.target
Before=cryptsetup.target
BindsTo=dev-disk-by\x2duuid-08ab0fc7\x2d5a6b\x2d421c\x2dbe8a\x2dd6171761a3e6.device
After=dev-disk-by\x2duuid-08ab0fc7\x2d5a6b\x2d421c\x2dbe8a\x2dd6171761a3e6.device
Before=umount.target
[Service]
Type=oneshot
RemainAfterExit=yes
TimeoutSec=0
KeyringMode=shared
OOMScoreAdjust=500
ExecStart=/usr/lib/systemd/systemd-cryptsetup attach 'luks-08ab0fc7-5a6b-421c-be8a-d6171761a3e6' '/dev/disk/by-uuid/08ab0fc7-5a6b-421c-be8a-d6171761a3e6' '-' 'tpm2-device=auto'
ExecStop=/usr/lib/systemd/systemd-cryptsetup detach 'luks-08ab0fc7-5a6b-421c-be8a-d6171761a3e6'
Reiniciei meu sistema e tudo deu certo; Ainda forneci minha senha - conforme esperado.
Em seguida, limpei a senha:
sudo systemd-cryptenroll --wipe-slot=password /dev/vda3
wiped slot 0.
A reinicialização causa o seguinte erro (desculpas pela captura de tela).
Quando examinei o serviço systemd-cryptsetup@luks.. (após inicializar no modo de recuperação), percebi que ele ExecStartnão tinha mais parâmetros TPM:
ExecStart=/usr/lib/systemd/systemd-cryptsetup attach 'luks-08ab0fc7-5a6b-421c-be8a-d6171761a3e6' '/dev/disk/by-uuid/08ab0fc7-5a6b-421c-be8a-d6171761a3e6' '' ''
O systemctl statusserviço produziu a seguinte mensagem de erro: systemd-cryptsetup[630]; No passphrase or recovery key registered.
`
Encontrei o problema, obrigado @u1686_grawity
Tive que adicionar uma etapa - dracut -fdepois de adicionar um slot TPM - este (acredito) carregou o driver TSS no início do processo de inicialização.
Responder1
Encontrei o problema, obrigado @u1686_grawity
Tive que adicionar uma etapa - dracut -fdepois de adicionar um slot TPM - este (acredito) carregou o driver TSS no início do processo de inicialização.