The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux"
Версия для распечатки Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Исходное сообщение [ Отслеживать ]
Есть идеи по улучшению форума и сайта ? Пишите.
. "Леннарт Поттеринг предложил новую архитектуру верифицированн..." +2 +/
Сообщение от Шаттлврот (?), 26-Окт-22, 14:12 
Дело хорошее. Пару лет назад пытался собрать систему с разблокировкой LUKS по TPM PCR-ам из clevis и самопальных скриптов, напильника и какой-то там матери.

При каждом обновлении ядра\initrd приходилось конечно спрашивать пассфразу, дабы разблочить шифрованный том (PCR-ы то меняются при обновлении ядра и\или initrd) и заодно забиндится на новые PCR-ы.

Конечно если пользователь перезагружается только для применения обновлений ядра, то вся конструкция несколько теряет смысл. Но была и более серьезная проблема - я на нашел PCR-ов, которые реагируют только на изменение ядреного cmdline. Есть такой(номерок правда не помню), но он помимо изменения cmdline реагировал на любой чих вроде подключения usb-устройства. А без контроля на cmdline можно спокойно поменять init на bash, загрузиться и спокойно сдампить PCR-ы, после чего использовать их для разблокировки с livecd...

Ответить | Правка | Наверх | Cообщить модератору

Оглавление
Леннарт Поттеринг предложил новую архитектуру верифицированной загрузки Linux, opennews, 26-Окт-22, 10:42  [смотреть все]
Форумы | Темы | Пред. тема | След. тема



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру