openSUSE 中文社区
·
在 openSUSE 中借助全磁盘加密防范恶意设备
💡
原文中文，约4600字，阅读约需11分钟。
📝
内容提要
openSUSE 提供多种全磁盘加密配置方法，利用 systemd 工具实现安全解锁。用户可通过 TPM2 和 FIDO2 密钥在系统健康时自动解锁加密磁盘。尽管 TPM2 提升了安全性，但仍需防范物理攻击和恶意设备替换，建议结合 PIN 码使用 TPM2，或在根文件系统切换前扩展 PCR 寄存器，以确保系统安全。
🎯
关键要点
- openSUSE 提供多种全磁盘加密配置方法，利用 systemd 工具实现安全解锁。
- 用户可通过 TPM2 和 FIDO2 密钥在系统健康时自动解锁加密磁盘。
- TPM2 提升了安全性，但仍需防范物理攻击和恶意设备替换。
- 建议结合 PIN 码使用 TPM2，以增强安全性。
- 启动过程中的每个阶段都会被测量，以验证系统的健康状态。
- TPM2 可以加密解锁加密磁盘的密钥，确保只有在安全状态下才能访问。
- 系统更新时，sdbootutil 会自动生成新的预期 PCR 值，以确保自动解锁成功。
- 使用 TPM2 的全磁盘加密方案并非终极解决方案，仍需防范新型攻击。
- 针对物理攻击和恶意设备替换，建议使用 TPM2+PIN 组合。
- 可以通过扩展 PCR 寄存器或终止启动过程来防范恶意设备的攻击。
- sdbootutil 中的 measure-pcr-validator 服务用于验证设备的预期值，确保安全启动。
➡️
