lbwww/site/news/argon2.uk.md

% Зашифрований /boot/ на LUKSv2 тепер є можливим в Libreboot GRUB (PHC argon2 імпортовано) % Лія Роу % 20 серпня 2023 року

Вступ

Корисне навантаження GRUB підтримувало LUKSv2 протягом довгого часу, але тільки з старосвітовським методом формування ключа PBKDF2; більшість Linux dm-crypt встановлень на LUKSv2 використовує засноване на argon2 формування ключа, який GRUB не підтримував. Це значить або: використовуйте LUKSv2 з PBKDF2 (менш безпечно), або LUKSv1 (так само), в GRUB.

На сьогодняшній день, Libreboot тепер підтримує формування ключа argon2 в своїй версії GRUB, яка запропонована в якості корисного навантаження coreboot в системі побудови Libreboot, і в випусках Libreboot.

Виправлення Libreboot argon2 засновані на цьому репозиторії AUR, який виправляв GRUB 2.06, і виправлення були перебазованими для використання з GRUB 2.12, який Libreboot використовує; перебазування було виконано Ніколасом Джонсоном. Ніколас написав мені електронною поштою, щоб сказати, що це було зроблено, і я потім злила роботу Ніколаса в Libreboot. Дякую, Ніколас! Подяка також іде до Аксель, хто є автором оригінальної роботи, яку Ніколас імпортував з Archlinux AUR.

Чому це має значення?

Libreboot раніше документував, як завантажувати дистрибутиви з зашифрованого /boot, що є добрим для безпеки, тому що складніше скомпрометувати машину, яка має зашифрований /boot (що містить ядро linux), ніж якщо він не є зашифрованим, подібно більшості встановлень LUKS. В доповнення до цього, ви можете розглянути посилення GRUB, кроки подібні перевірці підпису GPG вашого встановленого ядра Linux.

Ці виправлення імпортують реалізацію PHC argon2 в версію Libreboot GRUB:

• https://browse.libreboot.org/lbmk.git/commit/?id=2c0c521e2f15776fd604f8da3bc924dec95e1fd1
• https://browse.libreboot.org/lbmk.git/commit/?id=fd6025321c4ae35e69a75b45d21bfbfb4eb2b3a0
• https://browse.libreboot.org/lbmk.git/commit/?id=438bf2c9b113eab11439c9c65449e269e5b4b095

Argon2 є новішим формуванням ключа, якому надається перевага на сучасних встановленнях LUKSv2. Дуже рекомендовано, щоб ви оновились на argon2id, в точності, для вашого встановлення.

Як отримати це

Це є недоступним для поточного випуску Libreboot 20230625, але буде доступним в наступному випуску Libreboot. Наразі, ви можете зібрати образ ROM самостійно з системи побудови Libreboot, lbmk, подібним чином:

Як побудувати образи ROM Libreboot з джерела

Наступне читання

Реалізація PHC argon2

Це реалізація argon2 для посилання, що тепер використовується Libreboot, і апстрім проект для цього розміщено тут:

https://github.com/P-H-C/phc-winner-argon2

Стаття Метью Гарретт

PSA: оновіть ваш LUKS метод формування ключа від Метью Гарретт, розповідає більше про важливість безпечного формування ключа (в точності argon2id) на зашифрованих встановленнях Linux.

Завжди використовуйте шифрування!