Bu özel soruna başka bir yaklaşım, bir şifreleme anahtarını saklamak için TPM'yi kullanmaktır, ancak savunma bunu etkinleştirmek için kullanıcıya güvenir. İlkel, RHEL7 tabanlı bir çözüm tpm-luks'tur ( https://github.com/GeisingerBTI/tpm-luks ).
Çalışma şekli önyükleme üzerindedir, önyükleme işleminin her adımı bir sonrakini ölçer ve bu ölçümü TPM'deki PCR'lere kaydeder. Önyükleme işlemi tamamlandıktan sonra, tpm-luks, PCR'lerin durumunu "bilinen iyi" bir konfigürasyona karşı kontrol eder. "İyi bilinen" bir yapılandırmada, TPM LUKS anahtarını açacaktır ve tpm-luks kök LUKS bölümünün kilidini açmak için bu verileri iletecektir.
Önemli olan her şey bir kriptografik hash ile ölçüldüğü için, kötü bir hizmetçinin FDE parolanızı hararetle toplamak için GRUB / çekirdek / ramdisk'inizi değiştirmesinin bir yolu yoktur. Ek bir bonus olarak, FDE parolasına hiç ihtiyacınız yok! Teorik olarak, insan tarafından okunabilir parolayı tamamen kaldırabilir ve tamamen tpm-luk'lara güvenebilirsiniz, ancak bu rotaya giderseniz, LUKS başlığınızı saklamak ve bir yedek olarak tutmak muhtemelen iyi bir fikirdir.
Bahsettiğim gibi, bu kullanıcı üzerinde biraz titizlik gerektirir. Bilgisayarı gözetimsiz bıraktıysanız ve size bir parola istemi sunulursa, bazı araştırmalar yapana kadar yazmak kötü bir fikirdir. Bu noktada, canlı bir CD ortamına önyükleme yapmalı ve tpm-luk'larda bir hata olup olmadığını veya /bootbölümün gerçekten değiştirilip değiştirilmediğini görmelisiniz . /bootBölümü hala şifrelenmemiş olarak bırakıyorsunuz , ancak önemli bir şey değiştirilirse ana diskin şifresi asla çözülmez.