c/ich_iel · by cows_are_underrated@feddit.org · 238d

Ich🐮💻🐇iel

Es fing gut mit diesen, beiden Tutorials an und endete damit, dass ich mich 2h lang in die Dokumentation vom ~~tpm-tools~~ vpm-werkzeuge (vpm = vertrauenswürdiges Plattform Modul)eingelesen habe nur um eine verficke ~~pcr-policy~~ pcr-regel zu erstellen und damit im Endeffekt nichts funktioniert (ich habe die pcr-regel nicht erstellen können).

61 points · 18 comments · view on lemmy.world

18 Comments

mech@feddit.org · 12 pts · 238d (12 replies)

Ich arbeite als Systemadministrator und weiß bis heute nicht, was ein TPM Modul macht, oder wozu es gut ist.
Wo liegt der Vorteil gegenüber Festplattenverschlüsselung mit einem Passwort + Autologin?

cows_are_underrated@feddit.org · 7 pts · 238d (7 replies)

Wusste gar nicht, dass sowas auch geht. Das würde mir glaube einiges an Arbeit ersparen.

Wofls@feddit.org · 12 pts · 238d (2 replies)

Also kp, aber LUKS-Encryption ist bei den meisten Linux Installs ne Option und meiner Erfahrung nach sehr pflegeleicht

cows_are_underrated@feddit.org · 2 pts · 237d

LUKS war kein Problem. Das ganze mit TPM zu verbinden ist ein ganz anderes Level von nervig.

Missy@feddit.org · 1 pts · 238d

[ removed ]

mech@feddit.org · 3 pts · 238d (3 replies)

Verschlüsselung und Anmeldung sind komplett separate Systeme.
Bei einer benutzerfreundlichen Linux-Verteilung kann man üblicherweise die Verschlüsselung mit Passwort bei der Installation einrichten.
Und bei Gnom und KDE kann man in den Einstellungen zur Anmeldung die automatische Benutzeranmeldung ohne Passwort einstellen.
Dann braucht man das lange, sichere Passwort zur Entschlüsselung nur einmal beim Stiefeln. Das Benutzer-Passwort kann dann kürzer sein und wird nur für sudo gebraucht.

Wenn man so dumm ist wie ich und Schlaffware nutzt, ist es ein Bisschen komplizierter.

Successful_Try543@feddit.org · 7 pts · 238d (1 reply)

~~KDE~~ -> Kühle Schreibtisch Umgebung

mech@feddit.org · 4 pts · 238d

KDE steht schon seit 18 Jahren nicht mehr für irgendetwas anderes als den KDE e.V.

cows_are_underrated@feddit.org · 2 pts · 237d

Ah OK, das ist für mich keine Option (aufgrund von verschiedenen anderen Anforderungen)

Zoneflasher@feddit.org · 4 pts · 238d

Du kannst dir das TPM stark vereinfacht wie einen Passwortmanager für Schlüssel vorstellen. Die Konfiguration des Systemstarts wird auch als Schlüssel gespeichert (PCRs nennen sich die Register dafür). Damit kann dann überprüft werden, ob das Gerät ordnungsgemäß gestartet ist und Zugriff auf andere Schlüssel gewährt werden darf.

Wird z.B. bei BitLocker (größtenteils zusätzlich zu einem Passwort) eingesetzt. Damit kommst du dann nicht an Daten, wenn du nur das Passwort und die Festplatte hast oder sich der Startvorgang aufgrund eines Angriffs auf das System verändert hat. Vorteile wären:

Zusätzlicher Schutz zu Passwort
oder kein Passwort merken notwendig
Schlüssel war nie auf der Festplatte und konnte / kann nicht abgegriffen werden
Schutz, ohne dass der User das in seinem Alltag merkt (bei Verschlüsselung wie BitLocker und LUKS2 merkt man es nicht und es wird auch als "Schutz" für die Lizenz von Microsoft Produkten wie Office verwendet)

Nur bei technischen Defekten brauchst du dringend Backups bzw. einen weiteren Schlüssel für die verwendete Verschlüsselung, aber die sollten ja sowieso immer da sein...

bennypr0fane@discuss.tchncs.de · 3 pts · 238d (2 replies)

Ist TPM nicht so eine neumodische Mikroweich-Erfindung? Ich habe mich ja beim Lesen des Pfostentitels gleich gewundert, dass das funktionieren sollte, und siehe da... Es klingt fast so ähnlich wie "Bash-Skripte mit MS Word schreiben" oder "Linux-User mit Azure Active Directory managen" oder so. Bei Datenträger-Verschlüsselung unter Linux denke ich, wie die anderen Zuhausis, auch zuerst an LUKS. Keine Ahnung, ob die Hartware dafür dann das TPM verwenden will, ist mir eig egal. Sicher ist es direkt bei der Installation viel unkomplizierter einzurichten als nachträglich

mech@feddit.org · 3 pts · 238d

https://www.simplified.guide/linux/install-internet-explorer

cows_are_underrated@feddit.org · 1 pts · 237d

Der Grund wieso ich das mache ist, dass ich eine Laptopausleihe an der Uni (vom Fachschaftsrat aus) einrichte und wir die Vorgabe haben "Bitlocker" zu verwenden (also LUKS mit TPM unter Linux). Das hat durchaus auch Sicherheitstechnische Vorteile und nein, TPM ist nicht "nur eine Erfindung von MS". Das hat durchaus seine Daseinsberechtigung.

cows_are_underrated@feddit.org · 7 pts · 238d (2 replies)

Für die die es genau interessiert (Achtung ich werde auf Zangendeutsch verzichten):

Das eine Tutorial meinte, dass ich einen key und einen Keyslot für die Verschlüsselung erstellen soll und den Key anschließend an das TPM binde.

# Create a new key slot 

sudo cryptsetup luksAddKey /dev/sda1 /root/tpm_key   

\# Seal the key to the TPM   

sudo tpm2_createprimary -C o -c primary.ctx   

sudo tpm2_create -C primary.ctx -u key.pub -r key.priv -a "fixedtpm|fixedparent|sensitivedataorigin|userwithauth|restricted|decrypt" -L "sha256:0000000000000000000000000000000000000000000000000000000000000000" -i /root/tpm_key -o sealed_key

tpm2_create will nach der Dokumentation für den -L Parameter entweder einen HEX-String oder eine pcr.policy haben und hat sich beschwert, dass es mit der sha256 summe nicht klar kam. Das hat ein ziemlich tiefes Hasenloch geöffnet, wie ich an so eine räudige policy drankomme. Wie so etwas funktionieren soll wird hier beschrieben, Problemchen war nur, dass tpm2.policycreate sich beschwert hat, dass es nicht mit den pcr beispielen klarkam.

Falls jemand von euch weiß, wie ich das ganze doch noch hinbekomme würde ich mich freuen.

Würde mich auch darüber freuen, wenn mir wer sagen kann, wie ich längere code blöcke hier einfügen und formatieren kann, ohne dass entweder die Formatierung zerschossen wird (wenn ich den code in \´ setze) oder bis zum Ende des Kommentars geht (wenn ich den code in ``` setze)

bleistift2@sopuli.xyz · 9 pts · 238d

Du kannst

Codeblöcke auch wieder mit

drei Backticks beenden.

silenium_dev@feddit.org · 3 pts · 237d

Wenn du systemd verwendest, ist das recht einfach: https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system#LUKS_on_a_partition_with_TPM2_and_Secure_Boot (für andere Distros als Arch müssen Schritte wie Initramfs anpassen abgewandelt werden). Ich hab's nach der Anleitung schon mehrfach so aufgesetzt und eigentlich nur beim ersten Mal länger als ne Stunde für alles gebraucht.

biber@feddit.org · 2 pts · 238d

In opensuse konnte ich das beim installieren auswählen - funktioniert einwandfrei, nur muss ich den tpm2 key beim booten fünf Mal eingeben, kp warum.

Ich spar mir die >5h das zu fixen und geb lieber alle paar Wochen das Passwort fünfmal ein :)

A_norny_mousse@feddit.org · 2 pts · 238d (1 reply)

[ removed ]

cows_are_underrated@feddit.org · 1 pts · 237d

Ich richte aktuell eine Laptopausleihe in unserem Fachbereich ein und die Vorgabe ist, dass wir Bitlocker (also unter Windows wäre das Bitlocker) verwenden sollen. Dementsprechend wird das halt auch der Vorgabe entsprechend eingerichtet.

chris@discuss.tchncs.de · 1 pts · 238d

Schau dir doch auch noch dieses Video dazu an: https://media.ccc.de/v/froscon2025-3279-festplattenverschlusselung_mithilfe_vom_tpm_2_0