La crittografia completa del disco supportata da TPM è in arrivo su Ubuntu
In un post sul blog, Canonical ha annunciato che la crittografia completa del disco con supporto TPM verrà implementata nella prossima versione di Ubuntu 23.10 "Mantic Minotaur" (prevista per il mese prossimo) come funzionalità sperimentale , con una versione stabile prevista per Ubuntu 24.04 LTS.
Si precisa che questo nuovo supporto sperimentale per la crittografia del disco non richiede una password per sbloccare il disco all'avvio, grazie alla memorizzazione delle informazioni di decrittazione della chiave nel Trusted Platform Module (TPM).
Lo sblocco automatico di un'unità crittografata, basato sull'hardware e sull'avvio verificato, semplifica l'implementazione della crittografia delle unità su sistemi aziendali e condivisi, nonché su server remoti dove non è possibile inserire manualmente una password dopo ogni riavvio.
Ciò significa che le passphrase non saranno più richieste sulle piattaforme supportate e che il segreto utilizzato per decrittografare i dati crittografati sarà protetto da un TPM e ripristinato automaticamente solo dal software di avvio anticipato autorizzato ad accedere ai dati. Oltre ai miglioramenti nell'usabilità , FDE supportato da TPM protegge anche i suoi utenti dagli attacchi "evil maid" che possono trarre vantaggio dalla mancanza di un modo per autenticare il software di avvio, ovvero initrd, per gli utenti finali.
Per quanto riguarda la nuova implementazione della crittografia completa del disco , la pubblicazione specifica che "invece di generare automaticamente la configurazione" del boot loader sul sistema locale, la modalità di avvio GRUB e la logica di selezione del kernel vengono configurate in una configurazione definita dalla distribuzione che viene passata a Snapd.
Inoltre, il kernel Linux è impacchettato come un'immagine kernel unificata " UKI" , che combina un driver per caricare il kernel da UEFI (stub di avvio UEFI), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria, che viene utilizzato per l'inizializzazione iniziale nella fase di pre-montaggio del filesystem root.
Sebbene l'immagine UKI sia compilata come un singolo file eseguibile in formato PE e sia firmata digitalmente, l'esecuzione di tale immagine da UEFI verifica l'integrità e la validità del kernel e del contenuto dell'initrd nel suo complesso. A parte il kernel e il bootloader, tutti gli altri componenti dell'ambiente di sistema rimangono invariati rispetto alla versione classica di Ubuntu.
L'accesso ai parametri di decrittazione memorizzati nel TPM avviene durante la fase di avvio iniziale e solo tramite un'immagine initrd appositamente autorizzata e firmata digitalmente dalla distribuzione.
È opportuno sottolineare che il sistema in questione è utilizzato in Ubuntu Core da due anni e offre un'adeguata protezione dei dati in caso di furto del dispositivo o attacchi a macchine incustodite. La possibilità di avviare solo un ambiente di sistema verificato è garantita dall'utilizzo di UEFI Secure Boot. Se vengono apportate modifiche all'immagine di avvio iniziale UKI e la catena di avvio verificata viene interrotta, il TPM non consentirà l'accesso alla chiave utilizzata per la decrittazione.
Rispetto al precedente supporto per la crittografia completa del disco in Ubuntu, il nuovo modello di implementazione basato su TPM si differenzia per l'utilizzo dell'architettura impiegata nel progetto Ubuntu Core. Inoltre, il programma di installazione offre la possibilità di selezionare la vecchia modalità di crittografia completa del disco, che richiede una password, e la nuova modalità , che memorizza i dati per le chiavi di decrittazione nel TPM.
Quando si sceglie la nuova modalità , il bootloader GRUB e il kernel Linux vengono forniti in pacchetti in formato snap e la crittografia del disco è gestita da un agente speciale in Snapd (quando si sceglie la vecchia modalità , GRUB e il kernel vengono installati dai tradizionali pacchetti deb) .
Infine, se siete interessati ad approfondire l'argomento, potete trovare maggiori dettagli al seguente link.