via

Почитал тред про luks и нихрена не понял. Как работает пароль в tpm? От чего он защищает? Казалось бы, основной вектор атаки такой -- ты не хочешь, чтобы злодей, забравший твой ноут (выключенный) узнал какие данные на твоем диске. Для этого у тебя есть luks, которая шифрует диск aes с длинным паролем, данные пароля хранит в слотах, слоты зашифрованы паролем, который ты держишь в голове. Пока тебе голову не расхерачили,  данные в первом приближении никто расшифровать не может. Каким боком тут помогает tpm? Есть модель угроз другая -- тебя заставляют рассказать пароль. В этом случае имеет смысл механизм уничтожения данных при вводе неправильного пароля. Казалось бы, такое можно запилить модифицировав askpass в initrd, но никто, почему-то не заморачивался.

защищает от того, что кто-то вынет винчестер из компьютера и начнёт перебирать короткий пароль и сбрасывать счётчик перед стиранием всего на третьей неправильной попытке

@Komzpa  А что умеет делать стирание всего на третьей неправильной попытке? В смысле, то, что хранилось в слотах на luks теперь хранится в tpm?

Сам luks, после k-ой неверной попытки он просто все ключи стирает и все)

Лучше было бы, чтобы существовал killer password. Кажется опция стирания ключей после k-й попытки не дефолтная.

Все это работает и без tpm, tpm обычно позволяет на уровне Биоса / железа зашифровать диск и не надо ни с чем возиться...

Если диск зашифрован с tpm, где пароль вводить? Где что хранится?

Вводить после включения, ключи в tpm и лежат, жёсткий диск в любом другом устройстве не прочитать

А, понятна фича. Более менее делаем неработоспособным диск без компа. Это хорошая вещь. Но killer password все равно надо.

Неужели у "кого надо" нет патченного лукса без стирания ключей?

а, это вообще не дефолтная настройка

Кто надо, сначала весь диск копирует... Тут идея в том, что тебя просят пароль ввести (там есть даже вариант специальный пароль такой сделать) ты его вводишь и все...

как ты и сказал -- копия диска останется.
а попытка уничтожения улик... ну такое себе удовольстие срок на ровном месте получить.
это надо, что б у тебя на диске было реально что-то страшное, а не рабочие файлы и домашние фотоньки

Ну сейчас даже за переписку в телеге сажают. И у нас не бриташка, ты свой пароль не обязан сообщать. А сопротивляться паяльнику таким способом warum nicht.

У меня ничего криминального нет, но и показывать домашние фотоньки всякой скотобазе я не намерен

Not A Crime!   https://youtu.be/StZwrbKHnG4

@andrewsh:matrix.org@andrewsh:matrix.org: а как насчёт позитронек и бозонек?

Привет. А что сейчас в OpenSource есть для автоматизации теплиц? У родителей теплица, думал летом там что-то наворотить интересное :)

+1 , охотно бы послушал , крутая тема