วิธีเลิกพิมพ์รหัสผ่าน LUKS ตอนบูตเครื่องด้วย systemd-cryptenroll
คู่มือการใช้งาน systemd-cryptenroll บน Linux เพื่อผูกดิสก์เข้ารหัส LUKS2 กับชิป TPM2 และโทเค็นฮาร์ดแวร์ เลิกป้อนพาสเฟรสทุกครั้งที่รีบูต
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- การเข้ารหัสฟูลดิสก์ที่ต้องพิมพ์รหัสผ่านทุกครั้งสร้างปัญหาให้เซิร์ฟเวอร์โฮมแล็บเมื่อไฟดับ
- systemd-cryptenroll ช่วยผูกโวลุม LUKS2 เข้ากับชิป TPM2, โทเค็น FIDO2 และสมาร์ทการ์ด PKCS#11
- ต้องสำรองข้อมูลและสร้างคีย์กู้คืน (recovery key) ก่อนลบสล็อตพาสเฟรสเดิมทุกครั้ง
- รองรับเฉพาะโวลุม LUKS2 เท่านั้น โดยเวอร์ชันเก่าต้องแปลงฟอร์แมตก่อนใช้งาน
ระบบเข้ารหัสฟูลดิสก์ที่ยังคงหยุดรอพาสเฟรสทุกครั้งที่รีบูตเครื่องอาจเหมาะสมสำหรับแล็ปท็อปทั่วไป แต่สำหรับโหนดโฮมแล็บ เซิร์ฟเวอร์ฟลีท หรือระบบที่ต้องกลับมาทำงานเองอัตโนมัติหลังไฟฟ้าดับ การปลดล็อกแบบต้องโต้ตอบจะกลายเป็นสาเหตุหลักของระบบล่ม คู่มือนี้จะแนะนำการใช้งานเครื่องมือผู้ดูแลระบบอย่าง systemd-cryptenroll ครอบคลุมเวอร์ชัน systemd 262
เครื่องมือนี้ออกแบบมาสำหรับโวลุม LUKS2 เท่านั้น โวลุมรุ่นเก่าอย่าง LUKS1 จำเป็นต้องอัปเกรดฟอร์แมตก่อนด้วยคำสั่ง cryptsetup convert --type luks2 หลังจากสำรองข้อมูลเรียบร้อยแล้ว การทำงานร่วมกันจะอาศัย systemd-cryptsetup และไฟล์ตั้งค่า /etc/crypttab โดยเมตาดาต้าของการปลดล็อกจะถูกเก็บไว้ในส่วน JSON token ของ LUKS2
ก่อนเริ่มต้นทดลองใช้งานกับฮาร์ดแวร์ ควรตรวจสอบอุปกรณ์และเตรียมความพร้อมเสมอ:
- ตรวจสอบอุปกรณ์ LUKS ที่รองรับเวอร์ชัน 257 ขึ้นไป:
systemd-cryptenroll --list-devices - ตรวจสอบชิป TPM:
systemd-cryptenroll --tpm2-device=list - ตรวจสอบโทเค็น FIDO2:
systemd-cryptenroll --fido2-device=list
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ข้อควรระวังสำคัญคือ ห้ามลบสล็อตพาสเฟรสเดิมจนกว่าจะทดสอบการปลดล็อกผ่านฮาร์ดแวร์และคีย์กู้คืนว่าใช้งานได้จริง การลบผิดพลาดโดยไม่มีคีย์กู้คืนจะทำให้โวลุมข้อมูลเสียหายถาวร ขั้นตอนแรกก่อนทดลองกับ TPM หรือ FIDO2 คือการสร้างคีย์กู้คืนและเก็บรักษาไว้นอกเครื่อง เช่น ในโปรแกรมจัดการรหัสผ่านหรือพิมพ์เก็บไว้ในซองปิดผนึก
การใช้เครื่องมืออัตโนมัติเช่น systemd-cryptenroll ช่วยลดภาระของผู้ดูแลระบบในการจัดการเซิร์ฟเวอร์จำนวนมาก (fleet management) ที่ตั้งอยู่ระยะไกลและไม่มีคนคอยป้อนรหัสผ่านรีบูต อย่างไรก็ตาม ผู้ดูแลระบบต้องชั่งน้ำหนักระหว่างความสะดวกในการบูตระบบอัตโนมัติกับความเสี่ยงด้านความปลอดภัยทางกายภาพ หากอุปกรณ์ถูกขโมยพร้อมชิป TPM ที่ผูกไว้
สำหรับการตั้งค่าการปลดล็อกอัตโนมัติผ่าน TPM2 แบบไม่มีการผูก PCR (PCR policy) สำหรับโฮสต์ที่เชื่อถือได้ สามารถทำได้ง่ายๆ โดยระบุคำสั่ง sudo systemd-cryptenroll --tpm2-device=auto /dev/disk/by-uuid/YOUR-LUKS-UUID ซึ่งระบบจะปลดล็อกเมื่อตรวจพบชิป TPM นั้น จากนั้นต้องปรับแต่งไฟล์ /etc/crypttab ให้เรียกใช้งานโมดูลดังกล่าว และอัปเดต initramfs ของลินุกซ์แต่ละดิสโทร เช่น sudo update-initramfs -u บน Debian/Ubuntu หรือ sudo dracut -f บน Fedora
ในกรณีที่ต้องการความปลอดภัยขั้นสูง สามารถผูกเข้ากับ PCRs 7, 11 และ 14 ร่วมกับ Secure Boot เพื่อป้องกันการแก้ไขระบบปฏิบัติการหรือเคอร์เนลโดยไม่ได้รับอนุญาต หากสถานะการบูตเปลี่ยนแปลง การปลดล็อกจะหยุดทำงานทันที ซึ่งเป็นเหตุผลว่าทำไมการเก็บคีย์กู้คืนจึงเป็นสิ่งจำเป็นสูงสุด
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น