LUKS + TPM2 + PIN

Question

我目前知道两种将 LUKS 加密根分区绑定到 TPM2 的最新方法：systemd-cryptenroll和clevis. 在成功检查密钥密封的 PCR 后，他们似乎都释放了加密密钥。

但我不喜欢在没有用户交互的情况下解密卷的想法。我宁愿有一个类似于 BitLocker for Windows 提供的解决方案：TPM 和额外的 PIN 或恢复密钥。

尽管我在网上进行了详尽的搜索，但我无法找到这方面的任何提示。有人知道解决方案吗？

编辑：有一个--recovery-key选项systemd-cryptenroll。我只关心如何在使用 TPM 时获得额外的 PIN 要求的问题。

Answer 1

2022-05-21 - systemd v251

对 TPM2 + PIN 的支持已合并到 systemd-cryptenroll 中，并作为 v251 版本的一部分提供。

磁盘加密的变化：

• systemd-cryptenroll 现在可以通过新的 --tpm2-with-pin= 选项控制在使用基于 TPM 的卷解锁时是否要求用户输入 PIN。

  选项 tpm2-pin= 可以在 /etc/crypttab 中使用。

来源