openSUSE 中文社区
·
快速入门：使用 TPM 和 YaST2 进行全盘加密
💡
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
这篇文章是关于在 openSUSE MicroOS 上使用 TPM 或 FIDO2 进行全磁盘加密的指南。它介绍了如何通过 TPM2 芯片或 FIDO2 密钥实现加密保护，包括安装 openSUSE MicroOS、调整引导加载程序和软件包的步骤。硬件要求包括支持 UEFI 固件和 TPM2 芯片或 FIDO2 密钥。完成后，可以通过 TPM2 或 FIDO2 进行系统注册，并选择升级 LUKS 密钥派生函数。文章还特别提到虚拟机的注意事项。
🎯
关键要点
- 文章介绍在 openSUSE MicroOS 上使用 TPM 或 FIDO2 进行全磁盘加密的指南。
- 硬件要求包括支持 UEFI 固件和 TPM2 芯片或 FIDO2 密钥。
- 安装 openSUSE MicroOS 的步骤包括选择引导设置和启用磁盘加密。
- 安装过程中需要更改引导加载程序类型为 Systemd Boot，并安装额外的软件包。
- 完成安装后，需要输入密码解锁磁盘并进行系统注册。
- 推荐升级 LUKS 密钥派生函数以增强安全性。
- 调整内核启动参数需要编辑 /etc/kernel/cmdline 文件并更新引导加载程序配置。
- 如果预测系统出现故障，需要创建新的策略替换 TPM2 中的存储策略。
- 虚拟机用户需注意编辑 /etc/sysconfig/fde-tools，以避免启动时磁盘无法自动解密。
- 开发人员计划支持 grub2-BLS 和添加对安装程序的支持，欢迎提供帮助。
❓
延伸问答
如何在 openSUSE MicroOS 上进行全盘加密？
可以通过使用 TPM2 芯片或 FIDO2 密钥，在安装 openSUSE MicroOS 时选择启用磁盘加密来实现全盘加密。
安装 openSUSE MicroOS 时需要哪些硬件要求？
需要支持 UEFI 固件和 TPM2 芯片或 FIDO2 密钥，且内存至少为 2GB。
如何调整内核启动参数以支持全盘加密？
需要编辑 /etc/kernel/cmdline 文件，并调用 sdbootutil update-all-entries 更新引导加载程序配置。
在虚拟机中使用全盘加密时需要注意什么？
建议编辑 /etc/sysconfig/fde-tools，删除 FDE_SEAL_PCR_LIST 变量的 0，以避免启动时磁盘无法自动解密。
如何升级 LUKS 密钥派生函数以增强安全性？
可以通过执行 cryptsetup luksConvertKey 命令，对 /etc/crypttab 中列出的每个加密设备进行升级。
如果系统出现故障，如何处理 TPM2 中的存储策略？
需要为新的测量创建新的策略，以替换 TPM2 中存储的策略，并使用 sdbootutil 命令进行更新。
➡️
