Πλήρης κρυπτογράφηση σκληρού δίσκου και ασφαλής εκκίνηση σε συστήματα Linux
| datacite.contributor.RelatedPerson | Σκλάβος, Νικόλαος | |
| datacite.contributor.RelatedPerson | Χατζηδούκας, Παναγιώτης | |
| datacite.contributor.Supervisor | Βλάχος, Κυριάκος | |
| dc.contributor.author | Κοτίνης, Γεώργιος | |
| dc.contributor.other | Kotinis, Georgios | |
| dc.date.accessioned | 2026-09-21T05:39:22Z | |
| dc.date.available | 2026-09-21T05:39:22Z | |
| dc.date.issued | 2026-09-15 | |
| dc.degree | graduateThesis | |
| dc.description.abstract | Η παρούσα διπλωματική εργασία μελετά και υλοποιεί πολυεπίπεδη αρχιτεκτονική προστασίας συστήματος Linux, συνδυάζοντας κρυπτογράφηση αποθηκευτικού χώρου, TPM-based αυτόματο ξεκλείδωμα και έλεγχο ακεραιότητας της αλυσίδας εκκίνησης. Η υλοποίηση πραγματοποιήθηκε σε Ubuntu 24.04.4 LTS σε VMware Workstation Pro με vTPM 2.0. Το root filesystem προστατεύεται με LUKS2/dm-crypt και AES-XTS, ενώ το μυστικό ξεκλειδώματος σφραγίζεται σε TPM object με policy βασισμένη στους PCR 0, 4 και 7. Η διαδικασία unsealing ενσωματώθηκε στο initramfs, επιτρέποντας το αυτόματο άνοιγμα του κρυπτογραφημένου root πριν από την προσάρτησή του. Παράλληλα αναπτύχθηκε post-boot Integrity Monitor, ο οποίος επαληθεύει ψηφιακά υπογεγραμμένο policy manifest, επανυπολογίζει SHA-256 αποτυπώματα του kernel, του initramfs και του grub.cfg, ανακτά live PCR μετρήσεις από το vTPM και εκτελεί software-level προσομοίωση ελέγχου Secure Boot μέσω υπογεγραμμένων PE/COFF artifacts και του sbverify. Η προσομοίωση δεν αντικαθιστά το firmware-enforced Secure Boot, αλλά λειτουργεί ως μη παρεμβατικός μηχανισμός τοπικής πιστοποίησης και forensic auditing. Επιπλέον υλοποιήθηκε Update Survival Mechanism για ελεγχόμενη ανανέωση της υπογεγραμμένης βάσης αναφοράς όταν η τοπική πολιτική ταξινομεί μια μεταβολή ως update drift. Η πειραματική αξιολόγηση κάλυψε φυσιολογική εκκίνηση, απόκλιση PCR policy, αλλοίωση boot artifact, παραποίηση signed policy, αποτυχία υπογραφής στο Secure Boot simulation και end-to-end ανανέωση trusted baseline. Τα αποτελέσματα έδειξαν αποτυχία της TPM/LUKS auto-unlock διαδρομής όταν δεν ικανοποιείται η πολιτική και αξιόπιστη ανίχνευση post-boot αποκλίσεων. Στις μετρήσεις απόδοσης, το κρυπτογραφημένο root εμφάνισε περίπου 7,5% χαμηλότερο sequential throughput από το μη κρυπτογραφημένο /boot, ενώ ο Integrity Monitor ολοκληρώθηκε σε 0,22 s με μέγιστη resident μνήμη περίπου 21,4 MiB. Συνολικά, το prototype καταδεικνύει πρακτική ενοποίηση κρυπτογράφησης, Measured Boot και τοπικού ελέγχου ακεραιότητας, με σαφώς προσδιορισμένα όρια ως προς το firmware enforcement και την εξουσιοδότηση ενημερώσεων. | |
| dc.description.translatedabstract | This diploma thesis studies and implements a multi-layer protection architecture for a-Linux system, combining storage encryption, TPM-based automatic unlocking and-integrity assessment of the boot chain. The implementation was developed in a virtual-Ubuntu 24.04.4 LTS environment using VMware Workstation Pro and a virtual TPM-2.0. The root filesystem is protected with LUKS2/dm-crypt and AES-XTS, while the-unlocking secret is sealed in a TPM object authorized through a policy based on PCRs-0, 4 and 7. The unsealing process was integrated into the initramfs so that the-encrypted root filesystem can be unlocked automatically before it is mounted. In parallel, a post-boot Integrity Monitor was developed. It verifies a digitally signed-policy manifest, recalculates SHA-256 digests of the kernel, initramfs and grub.cfg,-retrieves live PCR measurements from the vTPM, and performs a software-level-simulation of Secure Boot signature verification using signed PE/COFF artifacts and-sbverify. The simulation does not replace firmware-enforced Secure Boot; it operates-as a non-intrusive local attestation and forensic-auditing mechanism. An Update-Survival Mechanism was also implemented to refresh the signed baseline in a-controlled manner when the local prototype policy classifies a change as update drift. The experimental evaluation covered normal boot, intentional PCR-policy deviation,-boot-artifact modification, signed-policy tampering, signature failure in the Secure-Boot simulation, end-to-end trusted-baseline refresh, and performance overhead. The-results demonstrated real failure of the TPM/LUKS automatic-unlock path when the-authorization policy was not satisfied, as well as reliable detection of post-boot-deviations by the Integrity Monitor. In the performance measurements, the encrypted-root showed approximately 7.5% lower sequential throughput than the unencrypted-/boot partition, while a standalone execution of the Integrity Monitor completed in-0.22 s with a maximum resident memory footprint of approximately 21.4 MiB. Overall, the prototype demonstrates that storage encryption, Measured Boot and local-integrity assessment can be integrated practically, while clearly identifying the limits-of software-level Secure Boot simulation and update authorization. | |
| dc.identifier.uri | https://hdl.handle.net/10889/32742 | |
| dc.language.iso | el | |
| dc.rights | Attribution-NonCommercial-NoDerivatives 4.0 International | en |
| dc.rights.uri | http://creativecommons.org/licenses/by-nc-nd/4.0/ | |
| dc.subject | Κρυπτογράφηση δίσκου | |
| dc.subject | Εξουσιοδότηση ενημερώσεων | |
| dc.subject | Τοπικός έλεγχος ακεραιότητας | |
| dc.subject | Ασφαλής εκκίνηση σε συστήματα Linux | |
| dc.subject.alternative | Secure Boot | |
| dc.subject.alternative | LUKS2 | |
| dc.subject.alternative | Dm-crypt | |
| dc.subject.alternative | TPM 2.0 | |
| dc.subject.alternative | PCR | |
| dc.subject.alternative | Initramfs | |
| dc.subject.alternative | GRUB | |
| dc.title | Πλήρης κρυπτογράφηση σκληρού δίσκου και ασφαλής εκκίνηση σε συστήματα Linux | |
| dc.title.alternative | Full disk encryption and secure boot in Linux systems |