arm - 使用带有树莓派的 TPM 以无人值守模式启动 LUKS 加密分区

Question

我需要在无人值守模式下使用 LUKS 加密的根分区启动 Raspberry Pi。据我了解，我可以使用 TPM（可信平台模块）芯片（我可以使用扩展板与 RaspberryPi 集成）和 tpm-luks。我想知道是否真的可以在树莓派中使用 TPM 模块来自动验证引导分区的完整性并获取使用 TPM 芯片解密根分区的密钥。

Answer 1

不，这是不可能的。TPM 是被动设备，它不能“验证引导分区完整性”。为了确保任何类型的完整性，您需要一个用于测量的信任根，而不是 TPM。您将需要一个可信任且锁定的固件，该固件可用作此类 RTM。你在 Pi 的专有固件中没有这个。