TPM 2.0实例探索3 —— LUKS磁盘加密（5）

news/2024/11/23 2:45:13/

接前文：TPM 2.0实例探索3 —— LUKS磁盘加密（4）

本文大部分内容参考：

Code Sample: Protecting secret data and keys using Intel® Platform...

二、LUKS磁盘加密实例

4. 将密码存储于TPM的PCR

现在将TPM非易失性存储器中保护磁盘加密的密封对象替换为一个新的（对象），其添加了我们刚刚创建的作为用以访问密封秘密的身份验证的pcr策略：

注：

此步骤需要承接前（几）篇文章中的基础步骤，可以参加本系列前几篇文章。重点参考：

物理真机上LUKS结合TPM的各个测试脚本

以下步骤需要在执行“第一阶段建立脚本”create_1.sh的基础上进行。

（4）创建主对象

命令如下：

tpm2_createprimary -Q --hierarchy=o --key-context=prim.ctx

命令及实际结果如下：

$ sudo /usr/local/bin/tpm2_createprimary --hierarchy=o --key-context=prim.ctx
name-alg:value: sha256raw: 0xb
attributes:value: fixedtpm|fixedparent|sensitivedataorigin|userwithauth|restricted|decryptraw: 0x30072
type:value: rsaraw: 0x1
exponent: 65537
bits: 2048
scheme:value: nullraw: 0x10
scheme-halg:value: (null)raw: 0x0
sym-alg:value: aesraw: 0x6
sym-mode:value: cfbraw: 0x43
sym-keybits: 128
rsa: b45cd070a8b71ba21a5dce69f93035671e4a32bc3758490629f21458171884171a94d1d6446aceb61b6a1d0df65a7f0c0a1cfa4fdbd221c12c69204b0cb8ab146014b9dc439c90b0ed7f538c2a9e0b8f1d16598d572f26f7ca1bcd76d2b1a4a56ee492f1bee45fc255096fb3972c3844a1191245bc2d3e8adcf694223f976a2af739ef6d6223eab4f71593b10233ead81d0d861912c600dfe97f37108fa53ec32f8307f1061689da224af65feccf510758aa8331402e341bfaea38f9203d74c21b54d9aa388351a13852613be8453f47caf6dae5c4a0af73175c40acb6df4e6e2b71b622eb6df4d084b411f4be8ba9c0240f614816e191ff4412839917d8afbb$ ls
disk.key  enc.disk  key_info.dat  mountpoint  pcr0.sha256.policy  prim.ctx  session.ctx

（5）生成哈希值并保存到文件

命令如下：

sudo tpm2_hash -C o -g sha256 -o hash.key -t ticket.bin key_info.dat

实际命令及脚本如下：

$ sudo /usr/local/bin/tpm2_hash -C o -g sha256 -o hash.key -t ticket.bin key_info.dat
$ 
$ ls
disk.key  enc.disk  hash.key  key_info.dat  mountpoint  pcr0.sha256.policy  prim.ctx  session.ctx  ticket.bin

（6）创建对象

命令如下：

sudo tpm2_create --hash-algorithm=sha256 --public=seal.pub --private=seal.priv --sealing-input=hash.key --parent-context=prim.ctx

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_create --hash-algorithm=sha256 --public=seal.pub --private=seal.priv --sealing-input=hash.key --parent-context=prim.ctx
name-alg:value: sha256raw: 0xb
attributes:value: fixedtpm|fixedparent|userwithauthraw: 0x52
type:value: keyedhashraw: 0x8
algorithm: value: nullraw: 0x10
keyedhash: 19df99d34d219b51f4a9c2e7c903d840b34660116920cce4ff5ca05c9ca75e04$ ls
disk.key  enc.disk  hash.key  key_info.dat  mountpoint  pcr0.sha256.policy  prim.ctx  seal.priv  seal.pub  session.ctx  ticket.bin

（7）加载对象到TPM

命令如下：

tpm2_load  -Q --parent-context=prim.ctx --public=seal.pub --private=seal.priv --name=seal.name --key-context=seal.ctx

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_load --parent-context=prim.ctx --public=seal.pub --private=seal.priv --name=seal.name --key-context=seal.ctx
$ 
$ ls
disk.key  enc.disk  hash.key  key_info.dat  mountpoint  pcr0.sha256.policy  prim.ctx  seal.ctx  seal.name  seal.priv  seal.pub  session.ctx  ticket.bin

（8）将对象从易失性空间移存到非易失性空间中

命令如下：

tpm2_evictcontrol --hierarchy=o --object-context=seal.ctx 0x81010002

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_evictcontrol --hierarchy=o --object-context=seal.ctx 0x81010002
persistent-handle: 0x81010002
action: persisted

（9）建立另一个新对象

命令如下：

tpm2_unseal --object-context=0x81010002 | tpm2_create -Q --hash-algorithm=sha256 --public=pcr_seal_key.pub --private=pcr_seal_key.priv --sealing-input=- --parent-context=prim.ctx --policy=pcr0.sha256.policy

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_unseal --object-context=0x81010002 | sudo /usr/local/bin/tpm2_create --hash-algorithm=sha256 --public=pcr_seal_key.pub --private=pcr_seal_key.priv --sealing-input=- --parent-context=prim.ctx --policy=pcr0.sha256.policy
name-alg:value: sha256raw: 0xb
attributes:value: fixedtpm|fixedparentraw: 0x12
type:value: keyedhashraw: 0x8
algorithm: value: nullraw: 0x10
keyedhash: e7d80b687f769a271f706cddade60a9f98c54b87234f32fa0a7f23fcb263bc6f
authorization policy: 4bc350fced1d9ec748eb9fac5576eed06178b715969525d1f967451ff89395bf$ ls
disk.key  hash.key      mountpoint          pcr_seal_key.priv  prim.ctx  seal.name  seal.pub     ticket.bin
enc.disk  key_info.dat  pcr0.sha256.policy  pcr_seal_key.pub   seal.ctx  seal.priv  session.ctx

（10）将永久性对象从非易失性空间中移除

命令如下：

tpm2_evictcontrol --hierarchy=o --object-context=0x81010002

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_evictcontrol --hierarchy=o --object-context=0x81010002
persistent-handle: 0x81010002
action: evicted

（11）加载新对象到TPM

命令如下：

tpm2_load -Q --parent-context=prim.ctx --public=pcr_seal_key.pub --private=pcr_seal_key.priv --name=pcr_seal_key.name --key-context=pcr_seal_key.ctx

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_load --parent-context=prim.ctx --public=pcr_seal_key.pub --private=pcr_seal_key.priv --name=pcr_seal_key.name --key-context=pcr_seal_key.ctx
$
$ ls
disk.key  hash.key      mountpoint          pcr_seal_key.ctx   pcr_seal_key.priv  prim.ctx  seal.name  seal.pub     ticket.bin
enc.disk  key_info.dat  pcr0.sha256.policy  pcr_seal_key.name  pcr_seal_key.pub   seal.ctx  seal.priv  session.ctx

（12）将新对象从易失性空间移存到非易失性空间中

命令如下：

tpm2_evictcontrol --hierarchy=o --object-context=pcr_seal_key.ctx 0x81010002

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_evictcontrol --hierarchy=o --object-context=pcr_seal_key.ctx 0x81010002 
persistent-handle: 0x81010002
action: persisted

现在再次尝试挂载加密的磁盘，只是这一次秘密被密封在了一个TPM对象中，其解密操作只能在满足了PCR策略才能进行。换句话说，依靠预期的系统软件状态进行身份验证，此系统软件状态如PCR值所反映的那样保持不变。

（13）再次将enc.disk虚拟成块设备

命令如下：

sudo losetup /dev/loop0 enc.disk

实际命令及结果如下：

$ sudo losetup /dev/loop0 enc.disk
$ 
$ lsblk
NAME        MAJ:MIN RM   SIZE RO TYPE MOUNTPOINTS
loop0         7:0    0    50M  0 loop 
nvme0n1     259:0    0 476.9G  0 disk 
……/usr/local/opt/home/data

（14）启动一个策略会话并保存会话数据到一个文件中

命令如下：

tpm2_startauthsession --policy-session --session=session.ctx

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_startauthsession --policy-session --session=session.ctx
$ 
$ ls
disk.key  hash.key      mountpoint          pcr_seal_key.ctx   pcr_seal_key.priv  prim.ctx  seal.name  seal.pub     ticket.bin
enc.disk  key_info.dat  pcr0.sha256.policy  pcr_seal_key.name  pcr_seal_key.pub   seal.ctx  seal.priv  session.ctx

（15）创建一个包含指定PCR值的策略

命令如下：

tpm2_policypcr -Q --session=session.ctx --pcr-list="sha256:0" --policy=pcr0.sha256.policy

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_policypcr --session=session.ctx --pcr-list="sha256:0" --policy=pcr0.sha256.policy
4bc350fced1d9ec748eb9fac5576eed06178b715969525d1f967451ff89395bf$ ls
disk.key  hash.key      mountpoint          pcr_seal_key.ctx   pcr_seal_key.priv  prim.ctx  seal.name  seal.pub     ticket.bin
enc.disk  key_info.dat  pcr0.sha256.policy  pcr_seal_key.name  pcr_seal_key.pub   seal.ctx  seal.priv  session.ctx

此时此刻，合乎理想地，你想要解封保存在内存中的秘密并且直接将它放入（另一端）到cryptsetup的管道中，像这样：“tpm2_unseal --auth=session:session.ctx --object-context=0x81010002 | sudo cryptsetup luksOpen --key-file=- /dev/loop0 encvolume”。但是，出于在之后的一个小节中证明PCR灵活性的目的，我们将做一个解封秘密的拷贝。

（16）解封秘密到文件

命令如下：

tpm2_unseal --auth=session:session.ctx --object-context=0x81010002 > disk_secret.bkup

实际命令及结果如下：

$ sudo /usr/local/bin/tpm2_unseal --auth=session:session.ctx --object-context=0x81010002 > disk_secret.bkup
$ 
$ ls
disk.key          enc.disk  key_info.dat  pcr0.sha256.policy  pcr_seal_key.name  pcr_seal_key.pub  seal.ctx   seal.priv  session.ctx
disk_secret.bkup  hash.key  mountpoint    pcr_seal_key.ctx    pcr_seal_key.priv  prim.ctx          seal.name  seal.pub   ticket.bin

（17）


http://www.ppmy.cn/news/364685.html

相关文章

物理真机上LUKS结合TPM的测试 —— 使用自己生成的密钥（正确版）

物理真机上LUKS结合TPM的测试 —— 使用自己生成的密钥（正确版）

本文与前一篇文章物理真机上LUKS结合TPM的测试 —— 使用自己生成的密钥（问题版）相对应。 1. 创建磁盘空间 命令如下： dd if/dev/zero ofenc.disk bs1M count50 实际命令及结果如下： $ dd if/dev/zero ofenc.disk bs1M count5…
阅读更多...
中兴c600 10GPON 三方兼容 数据配置

中兴c600 10GPON 三方兼容 数据配置

username:zte password:zte /EPON宽带配置**/ ZXAN#con t Enter configuration commands, one per line. End with CTRL/Z. ZXAN(config)# //配置ONU模版--------------- ZXAN(config)#pon ZXAN(config-pon)#onu-type TDTC-201E epon speed 10g-asymmetric description…
阅读更多...
C600 业务配置（包含tr069 / voip配置）

C600 业务配置（包含tr069 / voip配置）

一种快速注册方式（找一个已配置好的设备，进入onu 模式下，直接替换当前的sn） ZXAN(config-if-gpon_olt-1/1/3)#show pon onu un ZXAN(config)#int gpon_onu-1/1/3:10 ZXAN(config-if-gpon_onu-1/1/3:10)#auth-id sn CMDCD52246E…
阅读更多...
第七章实验

第七章实验

三个整数排序 一、实验目的 掌握指针的概念，会定义并使用指针变量。学会使用数组的指针和指向数组的指针变量。学会使用字符串的指针和指向字符串的指针变量。学会使用指向函数的指针变量。 二、实验内容 1、输入三个整数，用指针实现从大到小排序 &…
阅读更多...
Intel C220/C600 RAID 在硬盘上的数据结构-纯干货

Intel C220/C600 RAID 在硬盘上的数据结构-纯干货

Intel C220/C600 RAID 在硬盘上的数据结构-纯干货 以4盘6TB 组建的RAID 5为例阵列扇区在磁盘上的分布结构一些计算方法 以4盘6TB 组建的RAID 5为例 因为自己的4盘阵列坏了，数据恢复需要，就简单研究了一下磁盘阵列写在磁盘上的数据结构。 基础信息如下&a…
阅读更多...
全志F1C600 sqlite3嵌入式移植安装全过程

全志F1C600 sqlite3嵌入式移植安装全过程

https://blog.csdn.net/nanfeibuyi/article/details/88034543 https://blog.csdn.net/H542723151/article/details/100568182 https://www.cnblogs.com/wangkangluo1/archive/2012/05/27/2520465.html https://www.ibm.com/developerworks/cn/linux/l-makefile/ 全志F1C600板子…
阅读更多...
【010 设备驱动】ioctl和unlock_ioctl有什么区别？

【010 设备驱动】ioctl和unlock_ioctl有什么区别？

一、ioctl 作用 大部分驱动除了需要具备读写设备的能力外，还需要具备对硬件控制的能力。例如，要求设备报告错误信息，改变波特率，这些操作常常通过ioctl方法来实现。 二、ioctl和unlock_ioctl有什么区别？ kernel 2.6.…
阅读更多...
pyqt 主窗口传递图像到对话窗口

pyqt 主窗口传递图像到对话窗口

import sys from PyQt5 import QtWidgets, QtGui, QtCore# 对话窗口 class Dialog(QtWidgets.QDialog):def __init__(self, parentNone):super(Dialog, self).__init__(parent)self.setWindowTitle("Dialog")self.label QtWidgets.QLabel(self)self.label.setFixedS…
阅读更多...
最新文章

Copyright @ 2022~2023