Leserartikel Ubuntu 23.10 - bringt TPM-unterstützte Festplattenverschlüsselung

[Wochenende]

Wenn du eines von diesen MSI-Boards hast vielleicht.

 

[foofoobar]

Wenn Grub manipuliert wurde, startet der Rechner nicht.


Welche Signatur? Die initrd hat keine Signatur, das ist ein bekanntes Problem. Ja, jeder kann ein Shellscript reinpacken dass das Passwort abgreift. Da kommt dann TPM ins Spiel. TPM gibt den Schlüssel nur an erlaubte Programme. Das steht auch im Canonical-Artikel auf den sich der OP bezieht. Hat schon alles seinen Sinn.

https://0pointer.net/blog/authenticated-boot-and-disk-encryption-on-linux.html

Gibt es überhaupt Kisten die ootb so aufgesetzt sind?

 

[foofoobar]

BUMM:

https://hackaday.com/2024/02/06/beating-bitlocker-in-43-seconds/

 

[norKoeri]

2. Wenn ich zwei Festplatten im Computer hätte, eine mit Windows BitLocker und eine mit Ubuntu FDE, wie kann ich beide im TPM ablegen oder muss dann Ubuntu weiterhin LUKS-FDE bleiben?

Fand bisher noch immer keine Lösung. Allerdings kamen mir noch zwei Alternativen:

Alternative B: Wenn ich im BIOS die Boot-Sequenz ändere, könnte ich auch jedesmal das TPM bereinigen. Dann muss ich beim ersten Start lediglich den Recovery-Key eingeben. Windows übernimmt dann das TPM wieder und sichert den Key. Leider hat Ubuntu 23.10 noch irgendeinen Software-Bug, übernimmt das TPM nicht erneut und fragt nach dem Key bei jedem Start. Scheint lösbar …

Alternative C: Microsoft BitLocker ohne TPM aber mit Startup-Key … Abgesehen von der theoretischen Frage, wann Microsoft wirklich ein TPM verlangt, habe ich mit dieser Alternative immer noch in Ubuntu das Problem: Wie hinterlege ich eine Passphrase zusätzlich zum TPM?

Folglich bin ich zurück zu Alternative A, also BitLocker mit TPM und (enhanced) PIN und Ubuntu ohne TPM dafür mit LUKS-FDE. So habe ich vor beiden Systemen ein Kennwort und muss im BIOS lediglich die Boot-Reihenfolge ändern … wobei das im Moment auch nicht sauber geht, weil Ubuntu irgendwie den PCI-Bus falsch abklappert; muss ich noch genauer analysieren. Bis dahin, kein Umschalten über BIOS sondern jedes Mal die Festspeicher im Gehäuse abklemmen/ausbauen.