「Clevis」の版間の差分
(→Bind a LUKS volume: セクション見出しを訳出) |
Kusanaginoturugi (トーク | 投稿記録) (add en page link.) |
||
(他の1人の利用者による、間の30版が非表示) | |||
1行目: | 1行目: | ||
+ | [[en:Clevis]] |
||
{{Related articles start}} |
{{Related articles start}} |
||
{{Related|Booster}} |
{{Related|Booster}} |
||
61行目: | 62行目: | ||
{{ic|'{}'|}} には設定が入ります。パラメータがなかったとしても、攻撃者がバックアップパスワードを入手しない限り、他のコンピュータからドライブを復号することはできません。 |
{{ic|'{}'|}} には設定が入ります。パラメータがなかったとしても、攻撃者がバックアップパスワードを入手しない限り、他のコンピュータからドライブを復号することはできません。 |
||
+ | {{Note|UEFI 設定と [[Secure Boot]] ポリシーから LUKS キーを守るには、次の設定を使ってください。 |
||
− | {{Note|To seal the LUKS key against the UEFI settings and the [[Secure Boot]] policy, use: |
||
'{"pcr_ids":"1,7"}' |
'{"pcr_ids":"1,7"}' |
||
+ | UEFI や Secure Boot の設定が変更された場合、TPM は異なる PCR の値を出力して、復号に失敗します。これは [[Wikipedia:ja:悪意あるメイド攻撃|悪意あるメイド攻撃]] への防御となります。 |
||
− | If the UEFI or Secure Boot settings are modified, the TPM will compute different PCR values and decryption will fail. This gives protection against [[wikipedia:Evil maid attack|evil maid attacks]]. |
||
− | + | パラメータのリストは {{man|1|clevis-encrypt-tpm2|CONFIG}} を参照してください。 |
|
− | + | PCR の意味の全ての説明は、 [https://trustedcomputinggroup.org/wp-content/uploads/PC-ClientSpecific_Platform_Profile_for_TPM_2p0_Systems_v51.pdf TCG specification] (§ 2.3.4) を参照してください。 |
|
− | + | もしこれが {{ic|ERROR: pcr-input-file filesize does not match pcr set-list}} のエラーで失敗する場合には、別の PCR バンクを指定する必要があります。 |
|
'{"pcr_bank":"sha256","pcr_ids":"1,7"}' |
'{"pcr_bank":"sha256","pcr_ids":"1,7"}' |
||
+ | 2022年8月現在、Clevis は sha1 (デフォルト) と sha256 バンクのみをサポートしています。つまり、唯一異なるオプションは sha256 です。利用可能な、または使用中のバンクは {{ic|# tpm2_pcrread}} を使用して調べることができます。 |
||
− | As of August 2022 Clevis only supports sha1 (default) and sha256 banks, so naturally the only different option is sha256 - you can look up available and used banks using {{ic|# tpm2_pcrread}}. |
||
}} |
}} |
||
+ | PCR の値に変更が生じるシステム設定の変更を行った後 (例えば PCR 0 が使用されているときに UEFI の更新を行った場合) に新しい Clevis の pin を生成する場合には、以下のコマンドを実行してください。 |
||
− | To generate a new Clevis pin after changes in system configuration that result in different PCR values, for example updating the UEFI when PCR 0 is used, run |
||
{{hc|# cryptsetup luksDump /dev/sd''X''| |
{{hc|# cryptsetup luksDump /dev/sd''X''| |
||
86行目: | 87行目: | ||
}} |
}} |
||
+ | Clevis の pin に使用されているスロットを探すには、 |
||
− | to find the slot used for the Clevis pin, then |
||
# clevis luks regen -d /dev/sd''X'' -s ''keyslot'' |
# clevis luks regen -d /dev/sd''X'' -s ''keyslot'' |
||
+ | Clevis バインディングを削除するには、次のコマンドを実行します。 |
||
− | To remove the Clevis binding, run: |
||
# clevis luks unbind -d /dev/sd''X'' -s ''keyslot'' |
# clevis luks unbind -d /dev/sd''X'' -s ''keyslot'' |
||
+ | {{Warning|正しいスロットを選択していることを再確認してください。さもないと、ボリュームへのアクセスを失うことになります。}} |
||
− | {{Warning|Double check you have chosen the right slot, or you might lose access to your volume.}} |
||
+ | TPM にバインドされたボリュームは以下を使用してアンロックできます。 |
||
− | You can unlock a TPM-bound volume using: |
||
# clevis luks unlock -d /dev/sd''X'' |
# clevis luks unlock -d /dev/sd''X'' |
||
− | + | [[Dm-crypt/システム設定#crypttab|/etc/crypttab]] にあるボリュームの自動復号をするには、{{ic|clevis-luks-askpass.path}} を [[有効化]] してください。 |
|
+ | ルートボリュームの自動復号をするには、[[Initramfs]] ジェネレータに変更を加える必要があります。 |
||
− | For automated decryption of the root volume, we should make some changes to our [[Initramfs]] generators: |
||
− | === Mkinitcpio |
+ | === Mkinitcpio フック === |
− | + | {{AUR|mkinitcpio-clevis-hook}} パッケージをインストールしてください。その後、[[mkinitcpio.conf]] を編集して clevis フックを有効にしてください。 |
|
{{hc|/etc/mkinitcpio.conf|2= |
{{hc|/etc/mkinitcpio.conf|2= |
||
113行目: | 114行目: | ||
}} |
}} |
||
− | {{Note| |
+ | {{Note|plymouth を使用している場合は、{{ic|plymouth-encrypt}} フックを encrypt で置き換えてください。{{ic|plymouth-encrypt}} はデバイスが既にアンロックされているときに不具合を生じやすいと報告されています。[https://github.com/kishorv06/arch-mkinitcpio-clevis-hook/issues/1 詳しい情報。]}} |
+ | 最後に [[Initramfs を再生成する|Initramfs を再生成します]] 。 |
||
− | At the end [[regenerate the initramfs]]. |
||
=== Booster === |
=== Booster === |
||
+ | 幸いなことに、設定不要で [[Booster]] は自動的に LUKS ボリュームバインド を Clevis を使って復号することができます。 |
||
− | Luckily [[Booster]] automatically decrypts LUKS volumes bound using Clevis out of the box! |
||
+ | Booster は LUKS トークンを読むこと、clevis の情報をデコードすること、パスワードを再構築してパーティションを自動的にアンロックすることも可能です。 |
||
− | Booster is also able to read the LUKS tokens, decode clevis information, reconstruct the password and unlock the partition automatically. |
||
+ | ''Tang'' (ネットワークバインディング) の pin はネットワークが有効になっていることが必要です。 booster を使用している場合のネットワーク設定については [[Booster#設定]] セクションを参照してください。 |
||
− | ''Tang'' (network binding) pin requires network enabled. Please refer to [[Booster#Configuration]] section for more information on network configuration with booster. |
||
=== Dracut === |
=== Dracut === |
||
+ | [[Dracut]] は次の追加のパッケージを必要とします。 |
||
− | [[Dracut]] needs the following extra packages: |
||
* {{Pkg|libpwquality}} |
* {{Pkg|libpwquality}} |
||
133行目: | 134行目: | ||
* {{Pkg|nmap}} |
* {{Pkg|nmap}} |
||
+ | 次に、initramfs の再生成を実行してください。 |
||
− | Followed by an initramfs regeneration: |
||
# dracut -f |
# dracut -f |
||
+ | == ヒントとテクニック == |
||
− | == Tips and tricks == |
||
− | === YubiKey |
+ | === YubiKey バインド === |
+ | Clevis は YubiKey の チャレンジレスポンスモードを使用して LUKS パーティションをバインドすることができます。LUKS パーティションをバインドするには、次のコマンドを実行してください。 |
||
− | Clevis allows binding a LUKS partition using YubiKey's challenge-response mode. To bind a LUKS partition, run |
||
# clevis luks bind -d /dev/sd''X'' yubikey '{"slot":1}' |
# clevis luks bind -d /dev/sd''X'' yubikey '{"slot":1}' |
||
+ | {{Pkg|yubikey-personalization}} をインストールします。設定ファイルを編集して、次のオプションを追加してください。 |
||
− | Install {{Pkg|yubikey-personalization}}. Edit the configuration file and add following option: |
||
{{hc|/etc/booster.yaml| |
{{hc|/etc/booster.yaml| |
||
151行目: | 152行目: | ||
}} |
}} |
||
+ | [[Booster#ブースターイメージの再生成|ブースターイメージを再生成します]]。Booster はブート時にこの設定を検出して、認識されている YubiKey をドライブのアンロックに使用します。 |
||
− | [[Booster#Regenerate booster images|Regenerate the booster images]]. Booster will detect this configuration during boot and use the present YubiKey to unlock the drive. |
||
− | == |
+ | == 参照 == |
− | * [https://github.com/latchset/clevis/ |
+ | * [https://github.com/latchset/clevis/ プロジェクトホームページ] |
− | * [https://github.com/kishorv06/arch-mkinitcpio-clevis-hook mkinitcpio-clevis-hook |
+ | * [https://github.com/kishorv06/arch-mkinitcpio-clevis-hook mkinitcpio-clevis-hook のホームページ] |
2023年4月6日 (木) 13:14時点における最新版
clevis は TPM を使用してキーの作成と暗号化をすることにより、LUKS ボリュームのシステムへのバインディングを可能にします。そして、Clevis の pin を作成したときのシステムの状態を表現する PCR の値を使用してキーを閉じ込めます。
暗号化された LUKS パーティションの解錠に、ユーザーによるパスワードの入力を使うというのは伝統的で広く使われる方法ですが、デメリットも存在します:
- 手動で入力する必要があるため、自動的に起動したい場合には使えません (例: 巨大なサーバーファーム)。
- 普通の人間が覚えられるパスワードの長さには限界があり (エントロピーにして ~20-30 ビット)、近代的なブロック暗号に使う鍵としては弱すぎます (128/256 ビット)。
解決策としては強固な鍵を別のどこかに保持しておくという方法があります。例えば TPM チップや Yubikey、あるいは他のネットワークサービスなどが考えられます。Clevis はこのアイデアを実現するフレームワークです。抜き差し可能な pin を使ってデータを暗号化します (clevis の用語では bind)。現在 clevis には3つの pin が存在します:
- TPM2 データバインディング (コンピュータに Trusted Platform Module チップがある場合にのみ動作します)
- ネットワークサービス (別名 Tang) データバインディング
- シャミア秘密分散で他の pin を組み合わせる
- 外部プラグイン を使った YubiKey バインディング
目次
インストール
clevis を使うには clevis パッケージを インストール します。
データをバインドする
TPM2 のデータバインディングの例です。
$ clevis encrypt tpm2 '{}' <<< 'hello, world'
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..1P2Emag_4k-GlhyY.MuQQYPa8QHrysZ74uA.0ddDxfZA3R-cCmaKu5yUZA
この長い base64 でエンコードされたメッセージは、内部の TPM キーで暗号化されたテキストです。これは現在のコンピュータのみで復号できます。他のコンピュータから (あるいは他の TPM チップを用いて) 復号しようとするとエラーが返されます。
$ clevis decrypt tpm2 '{}' <<< 'eyJhbGciOiJkaXIiLCJjbGV2aXMiOnsicGluIjoidHBtMiIsInRwbTIiOnsiaGFzaCI6InNoYTI1NiIsImp3a19wcml2IjoiQU80QUlJQkxxT3FVenVDU1FmWkprNmdDN2wzMW43V3M2Y2FZd0VZS1BSR3Q0OHJEQUJBV2Z4M3pTUUNUTmtHZE9BM2FZd2RTZk9GcXZWdnVlQ3lPamFsWldCT2R4RlJKSzl5ZVRCM0pkNFktcF9HalhhNmlnLWxxNmtmMHZTWWkzOWMxVEpES1RYRVZTdnlXSlpEbGdxQ0JPMVNxeGJBd2tfSnIyRlRNY3hvNGtpSmNtMEVjbWd5dFdyME00QmcySlg4aVo3MEt1MTVjNzFORU5Ra3RjdGMtREhBVGFQcHJ2VzI2Z3d1YmUxckRfX19aV2tHaG9mX053M0M1OHlOcXF2RUpPZUwzNTZHNXJHNVVtYmUtWWV4Ujl2SEppZWlua3ZaNTJoMFVRYWVNSm9LYjJuNjlVTGZHb2J1NElTN20iLCJqd2tfcHViIjoiQUM0QUNBQUxBQUFFMGdBQUFCQUFJQ2poWDBVeTJKZVpSNU9pRU0ySktSeEtnUElYQ3dGNnRNR09NTDZ0ZnE5aiIsImtleSI6ImVjYyJ9fSwiZW5jIjoiQTI1NkdDTSJ9..1P2Emag_4k-GlhyY.MuQQYPa8QHrysZ74uA.0ddDxfZA3R-cCmaKu5yUZA'
hello, world
LUKS ボリュームをマウントする
TPM に LUKS ボリュームをバインドするには、以下のコマンドを使用します。
# clevis luks bind -d /dev/sdX tpm2 '{}'
'{}'
には設定が入ります。パラメータがなかったとしても、攻撃者がバックアップパスワードを入手しない限り、他のコンピュータからドライブを復号することはできません。
PCR の値に変更が生じるシステム設定の変更を行った後 (例えば PCR 0 が使用されているときに UEFI の更新を行った場合) に新しい Clevis の pin を生成する場合には、以下のコマンドを実行してください。
# cryptsetup luksDump /dev/sdX
Tokens: token slot: clevis Keyslot: keyslot
Clevis の pin に使用されているスロットを探すには、
# clevis luks regen -d /dev/sdX -s keyslot
Clevis バインディングを削除するには、次のコマンドを実行します。
# clevis luks unbind -d /dev/sdX -s keyslot
TPM にバインドされたボリュームは以下を使用してアンロックできます。
# clevis luks unlock -d /dev/sdX
/etc/crypttab にあるボリュームの自動復号をするには、clevis-luks-askpass.path
を 有効化 してください。
ルートボリュームの自動復号をするには、Initramfs ジェネレータに変更を加える必要があります。
Mkinitcpio フック
mkinitcpio-clevis-hookAUR パッケージをインストールしてください。その後、mkinitcpio.conf を編集して clevis フックを有効にしてください。
/etc/mkinitcpio.conf
# Edit the hooks and add clevis before the 'encrypt' hook. Eg: HOOKS=(.. clevis encrypt ..)
最後に Initramfs を再生成します 。
Booster
幸いなことに、設定不要で Booster は自動的に LUKS ボリュームバインド を Clevis を使って復号することができます。
Booster は LUKS トークンを読むこと、clevis の情報をデコードすること、パスワードを再構築してパーティションを自動的にアンロックすることも可能です。
Tang (ネットワークバインディング) の pin はネットワークが有効になっていることが必要です。 booster を使用している場合のネットワーク設定については Booster#設定 セクションを参照してください。
Dracut
Dracut は次の追加のパッケージを必要とします。
次に、initramfs の再生成を実行してください。
# dracut -f
ヒントとテクニック
YubiKey バインド
Clevis は YubiKey の チャレンジレスポンスモードを使用して LUKS パーティションをバインドすることができます。LUKS パーティションをバインドするには、次のコマンドを実行してください。
# clevis luks bind -d /dev/sdX yubikey '{"slot":1}'
yubikey-personalization をインストールします。設定ファイルを編集して、次のオプションを追加してください。
/etc/booster.yaml
extra_files: ykchalresp
ブースターイメージを再生成します。Booster はブート時にこの設定を検出して、認識されている YubiKey をドライブのアンロックに使用します。