Le chiffrement complet du disque soutenu par TPM est en route vers Ubuntu
Dans un article de blog, Canonical a annoncé que le chiffrement complet du disque basé sur TPM sera implémenté dans la prochaine version Ubuntu 23.10 « Mantic Minotaur » (prévue le mois prochain) en tant que fonctionnalité expérimentale , une version stable étant prévue pour Ubuntu 24.04 LTS.
Il est mentionné que cette nouvelle prise en charge expérimentale du chiffrement de disque ne nécessite pas de mot de passe pour déverrouiller le disque au moment du démarrage, grâce au stockage des informations de déchiffrement de la clé dans le module de plateforme sécurisée (TPM).
Le déverrouillage automatique d'un lecteur chiffré, basé sur le matériel et un démarrage vérifié, simplifie la mise en œuvre du chiffrement des lecteurs sur les systèmes d'entreprise et partagés, ainsi que sur les serveurs distants où il est impossible de saisir manuellement un mot de passe après chaque redémarrage.
Cela signifie que les phrases secrètes ne seront plus requises sur les plates-formes prises en charge et que le secret utilisé pour déchiffrer les données cryptées sera protégé par un TPM et automatiquement récupéré uniquement par un logiciel de démarrage anticipé autorisé à accéder aux données. En plus de ses améliorations en termes de convivialité, FDE soutenu par TPM protège également ses utilisateurs contre les attaques « Evil Maid » qui peuvent profiter de l'absence de moyen d'authentifier le logiciel de démarrage, c'est-à-dire initrd, auprès des utilisateurs finaux.
Concernant la nouvelle implémentation du chiffrement complet du disque , la publication précise qu' « au lieu de générer automatiquement la configuration » du chargeur de démarrage sur le système local, le mode de démarrage GRUB et la logique de sélection du noyau sont configurés dans une configuration définie par la distribution qui est transmise à Snapd.
De plus, le noyau Linux est conditionné sous la forme d'une image noyau unifiée « UKI » , qui combine un pilote pour charger le noyau à partir de l'UEFI (UEFI boot stub), l'image du noyau Linux et l'environnement système initrd chargé en mémoire, utilisé pour l'initialisation initiale dans la phase de pré-montage du système de fichiers racine.
L'image UKI, compilée en un seul fichier exécutable au format PE et signée numériquement, est vérifiée par UEFI afin de garantir l'intégrité et la validité du noyau et du contenu de l'initrd. Hormis le noyau et le chargeur d'amorçage, tous les autres composants de l'environnement système restent identiques à ceux d'Ubuntu classique.
L'accès aux paramètres de déchiffrement stockés dans le TPM est effectué lors de la phase de démarrage initiale et uniquement à partir d'une image initrd spécialement autorisée, signée numériquement par la distribution.
Il convient de noter que ce système est utilisé dans Ubuntu Core depuis deux ans et assure une protection des données adéquate en cas de vol de l'appareil ou d'attaques sur des machines sans surveillance. Le démarrage sécurisé UEFI permet de ne démarrer que dans un environnement système vérifié. Si des modifications sont apportées à l'image UKI de démarrage initiale et que la chaîne de démarrage vérifiée est compromise, le module TPM bloquera l'accès à la clé de déchiffrement.
Concernant la prise en charge antérieure du chiffrement complet du disque sous Ubuntu, le nouveau modèle d'implémentation basé sur le TPM diffère par l'utilisation de l'architecture du projet Ubuntu Core. De plus, le programme d'installation offre la possibilité de choisir entre l'ancien mode de chiffrement complet du disque, qui requiert un mot de passe, et le nouveau mode, qui stocke les données des clés de déchiffrement dans le TPM.
Lors du choix du nouveau mode, le chargeur de démarrage GRUB et le noyau Linux sont fournis dans des packages au format snap, et le chiffrement du disque est géré par un agent spécial dans Snapd (lors du choix de l'ancien mode, GRUB et le noyau sont installés à partir des packages deb traditionnels) .
Enfin, si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.