Πλήρης κρυπτογράφηση σκληρού δίσκου και ασφαλής εκκίνηση σε συστήματα Linux
Loading...
Date
2026-09-15
Authors
Κοτίνης, Γεώργιος
Journal Title
Journal ISSN
Volume Title
Publisher
Abstract
Η παρούσα διπλωματική εργασία μελετά και υλοποιεί πολυεπίπεδη αρχιτεκτονική προστασίας συστήματος Linux, συνδυάζοντας κρυπτογράφηση αποθηκευτικού χώρου, TPM-based αυτόματο ξεκλείδωμα και έλεγχο ακεραιότητας της αλυσίδας εκκίνησης. Η υλοποίηση πραγματοποιήθηκε σε Ubuntu 24.04.4 LTS σε VMware Workstation Pro με vTPM 2.0. Το root filesystem προστατεύεται με LUKS2/dm-crypt και AES-XTS, ενώ το μυστικό ξεκλειδώματος σφραγίζεται σε TPM object με policy βασισμένη στους PCR 0, 4 και 7. Η διαδικασία unsealing ενσωματώθηκε στο initramfs, επιτρέποντας το αυτόματο άνοιγμα του κρυπτογραφημένου root πριν από την προσάρτησή του.
Παράλληλα αναπτύχθηκε post-boot Integrity Monitor, ο οποίος επαληθεύει ψηφιακά υπογεγραμμένο policy manifest, επανυπολογίζει SHA-256 αποτυπώματα του kernel, του initramfs και του grub.cfg, ανακτά live PCR μετρήσεις από το vTPM και εκτελεί software-level προσομοίωση ελέγχου Secure Boot μέσω υπογεγραμμένων PE/COFF artifacts και του sbverify. Η προσομοίωση δεν αντικαθιστά το firmware-enforced Secure Boot, αλλά λειτουργεί ως μη παρεμβατικός μηχανισμός τοπικής πιστοποίησης και forensic auditing. Επιπλέον υλοποιήθηκε Update Survival Mechanism για ελεγχόμενη ανανέωση της υπογεγραμμένης βάσης αναφοράς όταν η τοπική πολιτική ταξινομεί μια μεταβολή ως update drift.
Η πειραματική αξιολόγηση κάλυψε φυσιολογική εκκίνηση, απόκλιση PCR policy, αλλοίωση boot artifact, παραποίηση signed policy, αποτυχία υπογραφής στο Secure Boot simulation και end-to-end ανανέωση trusted baseline. Τα αποτελέσματα έδειξαν αποτυχία της TPM/LUKS auto-unlock διαδρομής όταν δεν ικανοποιείται η πολιτική και αξιόπιστη ανίχνευση post-boot αποκλίσεων. Στις μετρήσεις απόδοσης, το κρυπτογραφημένο root εμφάνισε περίπου 7,5% χαμηλότερο sequential throughput από το μη κρυπτογραφημένο /boot, ενώ ο Integrity Monitor ολοκληρώθηκε σε 0,22 s με μέγιστη resident μνήμη περίπου 21,4 MiB. Συνολικά, το prototype καταδεικνύει πρακτική ενοποίηση κρυπτογράφησης, Measured Boot και τοπικού ελέγχου ακεραιότητας, με σαφώς προσδιορισμένα όρια ως προς το firmware enforcement και την εξουσιοδότηση ενημερώσεων.
Description
Keywords
Κρυπτογράφηση δίσκου, Εξουσιοδότηση ενημερώσεων, Τοπικός έλεγχος ακεραιότητας, Ασφαλής εκκίνηση σε συστήματα Linux