Ang buong disk encryption na sinusuportahan ng TPM ay papunta na sa Ubuntu
Sa isang blog post, inanunsyo ng Canonical na ang TPM-backed full disk encryption ay ipatutupad sa paparating na Ubuntu 23.10 "Mantic Minotaur" release (inaasahang susunod na buwan) bilang isang experimental feature , na may nakaplanong stable release para sa Ubuntu 24.04 LTS.
Nabanggit na ang bagong eksperimental na suportang ito para sa disk encryption ay hindi nangangailangan ng password upang ma-unlock ang disk sa oras ng pag-boot, salamat sa pag-iimbak ng impormasyon sa key decryption sa Trusted Platform Module (TPM).
Pinapadali ng awtomatikong pag-unlock ng isang naka-encrypt na drive batay sa hardware at na-verify na boot ang pagpapatupad ng drive encryption sa mga corporate at shared system, pati na rin sa mga remote server kung saan walang paraan para manu-manong maglagay ng password pagkatapos ng bawat pag-reboot.
Nangangahulugan ito na hindi na kakailanganin ang mga passphrase sa mga sinusuportahang platform at ang lihim na ginamit sa pag-decrypt ng naka-encrypt na data ay mapoprotektahan ng isang TPM at awtomatikong mababawi lamang ng maagang boot software na awtorisadong i-access ang data. Bilang karagdagan sa mga pagpapabuti ng kakayahang magamit nito, pinoprotektahan din ng TPM-backed FDE ang mga user nito mula sa mga pag-atake ng "evil maid" na maaaring samantalahin ang kawalan ng paraan upang mapatotohanan ang boot software, ibig sabihin, initrd, sa mga end user.
Tungkol sa bagong implementasyon ng full disk encryption , idinedetalye ng publikasyon na "sa halip na awtomatikong likhain ang configuration" ng boot loader sa lokal na sistema, ang GRUB boot mode at kernel selection logic ay naka-configure sa isang distribution-defined configuration na ipinapasa sa Snapd.
Bukod pa rito, ang Linux kernel ay naka-package bilang isang pinag-isang kernel image na " UKI" , na pinagsasama ang isang driver upang i-load ang kernel mula sa UEFI (UEFI boot stub), ang Linux kernel image, at ang initrd system environment na nilo-load sa memory, na ginagamit para sa initial initialization sa pre-mount stage ng root FS.
Bagama't ang imahe ng UKI ay kino-compile bilang isang executable file sa PE format at digital na nilagdaan, ang pagtawag sa imaheng ito mula sa UEFI ay nagpapatunay sa integridad at bisa ng kernel at ng mga nilalaman ng initrd sa kabuuan. Bukod sa kernel at bootloader, lahat ng iba pang bahagi ng system environment ay nananatiling pareho gaya ng sa klasikong Ubuntu.
Ang pag-access sa mga parameter ng decryption na nakaimbak sa TPM ay isinasagawa sa unang yugto ng boot at mula lamang sa isang espesyal na awtorisadong initrd na imahe, na digital na nilagdaan ng distribution.
Mahalagang tandaan na ang pamamaraang ginamit ay ginamit sa Ubuntu Core sa loob ng dalawang taon at nagbibigay ng sapat na proteksyon ng data sakaling manakaw ang device o magkaroon ng mga pag-atake sa mga walang nagbabantay na makina. Ang kakayahang mag-boot lamang ng isang beripikadong kapaligiran ng sistema ay nakakamit sa pamamagitan ng paggamit ng UEFI Secure Boot. Kung may mga pagbabagong ginawa sa unang boot na UKI image at masira ang beripikadong boot chain, hindi papayagan ng TPM ang access sa key na ginagamit para sa decryption.
Tungkol sa dating suporta para sa full disk encryption sa Ubuntu, ang bagong modelo ng implementasyon na nakabatay sa TPM ay naiiba sa paggamit ng arkitekturang ginamit sa proyektong Ubuntu Core. Bukod pa rito, nag-aalok ang installer ng opsyon na piliin ang lumang full disk encryption mode, na nangangailangan ng password, at ang bagong mode, na nag-iimbak ng data para sa mga decryption key sa TPM.
Kapag pumipili ng bagong mode, ang GRUB bootloader at ang Linux kernel ay ibinibigay sa mga pakete sa snap format, at ang disk encryption ay pinamamahalaan ng isang espesyal na ahente sa Snapd (kapag pinili ang lumang mode, ang GRUB at ang kernel ay naka-install mula sa tradisyonal na mga pakete ng deb) .
Panghuli, kung interesado kang matuto nang higit pa, makikita mo ang mga detalye sa sumusunod na link.