TPM, Grub, LUKS, RAID1 a Fedora

[Bot]

Ahoj,
Mam notebook do ktereho jsem koupil 2 ssd disky. Naistaloval jsem distro fedora 21 a to jako raid 1, kde md0 je nesifrovany /boot a md1 je sifrovany zbytek. Vse funguje ok, kdyz jeden disk odejde, vlozim novy, pres sfdisk dumpnu partitiony z toho funkcniho, ty vlozim do mdadm, po synchronizaci nainstaluji grub na novy disk a hotovo, funguje to ok, dokonce system bezi i kdyz disk vytrhnu za behu (nechapu).

Chtel bych do toho pouzit tpm chip v mem notebooku bude to z principu fungovat, anebo se o to nemam vubec poukouset? Nasimuloval bych si to nekde, ale esxi neemuluje tpm. Predstavuji si to, ze nainstaluji asi trustedgrub na oba disky do tpm chipu vlozim jejich hash (jako klic asi?) a potom klice z cryptsetup a do crypttab napisu at si luks sahne do tpm. Nejsem si jisty jestli ta instalace grubu nezmeni jeho klic/hash?? Diky za radu.

Bot

[Reklama]

[trubicoid2]

no s tim TPM bych si moc nezahraval, vono jako chcipne ti MB v notebooku, nebo jen ten TPM a i kdyz disk to prezije, tak uz to nikdy nerozsifrujes? navic vnitrek toho TPM neni uplne jistej, NSA asi ma zadni vratka otevrena

TPM bych pouzil jen pro nahodny cisla, treba tu: http://cryptotronix.com/2014/08/28/tpm-rng/

a vytrzeni za chodu, ano, to je vlastnost RAID1 stejne bych asi sel do btrfs s RAID1, mdadm RAID1 nepozna, kterej disk dava spatny data, btrfs jo

[Bot]

Aha, diky za info o btrfs musim vic nacist, znam jen mdadm.
Muj notebook je dell, takze ma nsa urcite vratka, ale ja spis premyslel v rovine kradez od zkusenejsiho hackera

Pokud jde o poskozeni cipu, tak mam zkusenosti jen s bitlockerem a ten me nepusti do systemu pokud nevlozim 48mi mistny recovery klic, tak jsem myslel jestli by se luks nemohl chovat stejne. Nevadilo by mi kdybych pri obnove raid1 musel znovu prepsat tpm, ale nevim jestli se da vubec nainstalovat znovu grub na obou discich aby byl "stejny z pohledu tpm".

[JardaP .]

Tak full disk encryption se da v Linuxu udelat i bez TPM. Klice si pak zakopete na flashce nekde u zdi hrbitova u zdi, idealne o pulnoci.

[trubicoid2]

to TPM navic nejak jakoze ma v sobe klic chranenej passphrase, kterej z nej teoreticky nikdy nedostanes

klic zakopanej u hrbitova je fajn, ale musis ho vykopavat pokazdy, kdyz restartujes 

[Reklama]