Unterstützung für selbstverschlüsselnde Laufwerke im Fedora 41 Anaconda-Installer

Drei Red Hat-Ingenieure haben einen Änderungsvorschlag für Fedora Linux 41 eingereicht. Wenn er genehmigt wird, würde diese Änderung die optionale Unterstützung für native Hardwareverschlüsselung auf TCG OPAL2-konformen Laufwerken im Anaconda-Installer von Fedora hinzufügen. Diese neu vorgeschlagene Unterstützung für selbstverschlüsselnde Laufwerke wird in Fedora Linux 41 verfügbar sein und nur neue Installationen betreffen.

Der Vorschlag

Vojtech Trefny, Ondrej Kozina und Jiri Konecny von Red Hat haben vorgeschlagen, die Festplattenverschlüsselungsoptionen von Fedora zu verbessern. Ihr Vorschlag zielt darauf ab, die Fähigkeiten von selbstverschlüsselnden Laufwerken (SEDs) während des Installationsprozesses zu nutzen.

Um dies klarer auszudrücken, zielt ihr Vorschlag darauf ab, eine optionale Unterstützung für die Nutzung der nativen Hardwareverschlüsselung auf TCG OPAL2-konformen Laufwerken beim Konfigurieren der Festplattenverschlüsselung im Fedora-Installer Anaconda einzuführen.

Diese Funktion wird den Benutzern eine zusätzliche Sicherheitsebene und Flexibilität beim Einrichten der Festplattenverschlüsselung bieten.

Was sind selbstverschlüsselnde Laufwerke und OPAL2?

Selbstverschlüsselnde Laufwerke (SEDs) führen Verschlüsselungs- und Entschlüsselungsoperationen innerhalb ihrer Hardware durch. Der TCG OPAL2-Standard, entwickelt von der Trusted Computing Group, definiert eine spezifische Reihe von Sicherheitsfunktionen für Speichergeräte, einschließlich der Selbstverschlüsselung.

Die vorgeschlagene Änderung richtet sich speziell an Laufwerke, die diesem OPAL2-Standard entsprechen. Es ist wichtig zu beachten, dass zwar alle OPAL2-konformen Laufwerke selbstverschlüsselnd sind, nicht alle selbstverschlüsselnden Laufwerke jedoch zwangsläufig dem OPAL2-Standard folgen.

Vorgeschlagene Installationsoptionen

Wenn genehmigt, würde die Änderung beim Einrichten des verschlüsselten Speichers im Anaconda-Installer von Fedora zwei neue Optionen hinzufügen:

Nur Hardware-Verschlüsselung
Kombinierte Hardware- und Softwareverschlüsselung

Diese Optionen würden den Benutzern mit kompatibler Hardware mehr Flexibilität bieten.

Was ändert sich?

Die vorgeschlagene Änderung wird die bestehende --luks-version Option in der Kickstart-Schnittstelle erweitern, um die Verwendung von Hardware-Verschlüsselung zu ermöglichen. Zwei neue Optionen werden verfügbar sein:

--luks-version=luks2-hw-opal: Aktiviert nur die Hardwareverschlüsselung
--luks-version=luks2-hw-opal-crypt: Aktiviert Hardwareverschlüsselung in Kombination mit Softwareverschlüsselung

Bitte beachten Sie, dass diese Funktion nur über die Kickstart-Oberfläche verfügbar sein wird und standardmäßig nicht aktiviert ist. Benutzer müssen diese Option ausdrücklich auswählen, um die Hardwareverschlüsselung zu verwenden.

Vorgeschlagene Implementierung

Um diese Funktion zu testen, müssten Benutzer:

Eine Festplatte, die die OPAL-Spezifikation unterstützt
Das sedutil-cli-Dienstprogramm zur Überprüfung der OPAL-Konformität

Um die Unterstützung für OPAL mit dem Dienstprogramm sedutil-cli (bereitgestellt vom sedutil-Paket) mit dem Befehl zu überprüfen:

sudo sedutil-cli --scan

Wie bereits erwähnt, wären die neuen Verschlüsselungsoptionen über die Kickstart-Schnittstelle verfügbar. Benutzer könnten ihre Präferenz mithilfe der --luks-version-Option in ihren Kickstart-Dateien angeben.

Hier ist ein Beispiel-Kickstart-Snippet für verschlüsselte automatische Partitionierung:

autopart --type=lvm --encrypted --passphrase="passphrase" --luks-version=luks2-hw-opal --opal-admin-passphrase="..."

Verifizierung

Nach der Installation konnten Benutzer die Verschlüsselungskonfiguration mit dem Befehl cryptsetup luksDump überprüfen.

sudo cryptsetup luksDump <device>

Ersetzen Sie <device> durch den Pfad zu Ihrem verschlüsselten Gerät (z. B. /dev/sda2)

Überprüfen Sie den Abschnitt Datenabschnitte der Ausgabe. Der Inhalt wird anzeigen, welche Verschlüsselungsmethode verwendet wurde.

Für kombinierte Hardware- und Softwareverschlüsselung würden Sie Folgendes sehen:

LUKS header information
Version:        2
  ...
Data segments:
   0: hw-opal-crypt

Nur für Hardware-Verschlüsselung:

LUKS header information
Version:        2
  ...
Data segments:
   0: hw-opal

Nur für Softwareverschlüsselung (Standardverhalten):

LUKS header information
Version:        2
  ...
Data segments:
   0: crypt

Potenzielle Vorteile und Überlegungen

Mögliche Vorteile

Leistungsverbesserungen bei leistungsschwachen Systemen
Erhöhte Sicherheit durch mehrschichtige Verschlüsselung (bei Verwendung von Hardware und Software)

Wichtige Hinweise

Die Funktion wäre optional und standardmäßig nicht aktiviert
Es würde eine explizite Auswahl während der Installation erfordern
Die Verwendung von rein hardwarebasierter Verschlüsselung hängt von der Implementierung des Laufwerksherstellers ab

Kompatibilität und Upgrades

Diese vorgeschlagene Änderung würde nur neue Installationen betreffen. Bestehende Systeme wären von dieser Funktion nicht betroffen.

Benutzererfahrung

Nach der Installation sollten Benutzer keine Unterschiede bemerken, da das System sich auf die gleiche Weise wie bei der „normalen“ Festplattenverschlüsselung verhält.

Nächste Schritte

Das Fedora Engineering Steering Committee wird diesen Vorschlag prüfen. Wenn er genehmigt wird, könnte er mehr Verschlüsselungsoptionen für Fedora Linux 41 bringen und potenziell die Sicherheit und Leistung für Benutzer mit kompatibler Hardware verbessern.

Für weitere Informationen oder um Feedback zu diesem Vorschlag zu geben, besuchen Sie bitte das Fedora-Diskussionsforum:

F41 Änderungsantrag: Unterstützung für selbstverschlüsselnde Laufwerke im Installer