Полнодисковое шифрование говорят они...

Замороженные сосиски? Ты когда-нибудь пробовал держать зажатую в ладони замороженную сосиску дольше 10 секунд? Не только пароли расскажешь, но и новые нагенерируешь по запросу!

Не только пароли расскажешь, но и новые нагенерируешь по запросу!

Да даже терморектальный криптоанализ не всегда поможет. Если коллеги переживают за твою судьбу, может и скинут пароли, а если нет... то не судьба. Это я намекаю на то, что не все данные есть в голове и не ко всем записанным данным можно легко получить доступ.

Как по твоему происходит загрузка без установленного пинкода? Что происходит с данными, защищенными учётными данными устройства, а не юзера? Это что касается Андроида.

Ты мне про Direct Boot и File Based Encryption хочешь тут поведать? Так я в курсе.

А что до ТС - Кто сказал, что секреты для юзерской учётки и для FDE - одинаковые?

Потому что Full Disk Encryption – это буквально вот оно. Шифрование всего диска разом. Если внутри шифрованного раздела LUKS юзерские данные ещё отдельно зашифрованы, это очень круто. Только нахера тогда вообще LUKS нужен? Что и от чего именно он тут защищает, если есть доступ к девайсу и можно перехватить ключ?

Алсо, я тебе более того скажу: на этих серверных платах при наличии физического доступа можно сунуть логический анализатор прямо на контакты твоего TPM и выдрать ключ даже без необходимости с лялексом или загрузчиком взаимодействовать (https://hackaday.com/2023/08/25/bypassing-bitlocker-with-a-logic-analzyer/). Достаточно дождаться вот этого самого ребута.

НУ И ГДЕ ТЕПЕРЬ ТВОЙ БОГ?

ЗЫ Возможно уже писал, я после ковида реально пасс от ноута забыл, подобрал, но не с первого раза.

Так нажатие enter при загрузке - оно ж зачем? Чтобы, введя пароль, попасть в рута.

Какой удалённо, если там ещё корень не смонтирован? Локально. Злоумышленник подключает специальное HID устройство для теребонькания Enter.

Юзердата хранится зашифрованной вне зависимости от установленных паролей

А пароль от неё в Google.

можно и безо всяких имитаций нажатия enter

Так нажатие enter при загрузке

Ты путаешься, кажется.

чайник.jpg

Ты мне про Direct Boot и File Based Encryption хочешь тут поведать? Так я в курсе.

В чём тогда твоя проблема? В чём принципиальная разница получения секрета для FDE и FBE?

на этих серверных платах

Америку открыл. Удачи подключить анализатор к CPU, где сейчас все секреты живут.

имитация нажатия — это имитация нажатия. Подключение специального устройства, имитирующего HID Device.

А я про обычное нажатие enter на обычной клавиатуре.

Энивей я уже говорил, что никакого пароля рута в initrd быть не должно.

В чём тогда твоя проблема?

У меня нет проблемы кроме того, что TPM – это дно, а вендоры кладут член на безопасность и своевременный выпуск обновлений.

Удачи подключить анализатор к CPU, где сейчас все секреты живут.

Всё ещё возможно. Плюс, TPM далеко не во всех CPU встроенные.

Энивей его там и нет, пароль рута появляется, уже когда расшифрован корень и есть возможность прочитать /etc/shadow.

analzyer?

Может, для галочки. А тем, кому нет, они как раз и начали запрашивать поддержку ПИН-требования.

Невозможно удалённо восстановить работу сервера.

Это не дыра, это escrow-отверстие.

Нет, SecureBoot сам по себе дыра и ни от чего не защищает.

Если ваша безопасность зависит от гарантий разом и TPM и SecureBoot, то вы просто настроили небезопасную фигню. Настройте безопасную.

IPMI тебе на что?

Так вот та картинка она же уже через IPMI.

Ну подключаешь iso с аварийным livecd а то и вовсе загружаешь .efi со средой восстановления. Не вижу такой проблемы, чтобы ради неё устраивать сабж.

https://canonical.com//blog/tpm-backed-full-disk-encryption-is-coming-to-ubuntu

Компания Canonical анонсировала появление в осеннем выпуске Ubuntu 23.10 экспериментальной поддержки шифрования дисков, не требующего ввода пароля разблокировки диска при загрузке, благодаря хранению информации для расшифровки ключей в TPM (Trusted Platform Module).