Prise en charge des disques auto-chiffrants dans l'installateur Anaconda de Fedora 41

Trois ingénieurs de Red Hat ont soumis une proposition de changement pour Fedora Linux 41. Si elle est approuvée, cette modification ajouterait un support optionnel pour le chiffrement matériel natif sur les disques compatibles TCG OPAL2 dans l'installateur Anaconda de Fedora. Ce nouveau support des disques auto-chiffrants proposé sera disponible dans Fedora Linux 41 et n'affectera que les nouvelles installations.

La Proposition

Vojtech Trefny, Ondrej Kozina et Jiri Konecny de Red Hat ont proposé d'améliorer les options de chiffrement de disque de Fedora. Leur suggestion vise à tirer parti des capacités des disques auto-chiffrants (SED) lors du processus d'installation.

Pour le dire plus clairement, leur suggestion vise à introduire un support optionnel pour l'utilisation du chiffrement matériel natif sur les disques conformes à TCG OPAL2 lors de la configuration du chiffrement de disque dans l'installateur Fedora, Anaconda.

Cette fonctionnalité offrira aux utilisateurs une couche supplémentaire de sécurité et de flexibilité lors de la configuration du chiffrement des disques.

Quelles sont les unités d'entraînement auto-chiffrantes et OPAL2 ?

Disques auto-chiffrants (SED) effectuent des opérations de chiffrement et de déchiffrement au sein de leur matériel. La norme TCG OPAL2, développée par le Trusted Computing Group, définit un ensemble spécifique de fonctionnalités de sécurité pour les dispositifs de stockage, y compris l'auto-chiffrement.

Le changement proposé cible spécifiquement les lecteurs conformes à cette norme OPAL2. Il est important de noter que, bien que tous les lecteurs conformes à OPAL2 soient auto-chiffrants, tous les lecteurs auto-chiffrants ne suivent pas nécessairement la norme OPAL2.

Options d'installation proposées

Si elle est approuvée, la modification ajouterait deux nouvelles options lors de la configuration du stockage chiffré dans l'installateur Anaconda de Fedora :

1. Chiffrement matériel uniquement
2. Chiffrement matériel et logiciel combiné

Ces options offriraient plus de flexibilité aux utilisateurs disposant de matériel compatible.

Qu'est-ce qui change ?

Le changement proposé étendra l'option existante --luks-version dans l'interface kickstart afin de permettre l'utilisation du chiffrement matériel. Deux nouvelles options seront disponibles :

• --luks-version=luks2-hw-opal : Active uniquement le chiffrement matériel
• --luks-version=luks2-hw-opal-crypt : Active le chiffrement matériel en combinaison avec le chiffrement logiciel

Veuillez noter que cette fonctionnalité sera disponible uniquement via l'interface de démarrage rapide et ne sera pas activée par défaut. Les utilisateurs doivent sélectionner cette option explicitement pour utiliser le chiffrement matériel.

Mise en œuvre proposée

Pour tester cette fonctionnalité, les utilisateurs auraient besoin de :

1. Un disque qui prend en charge la spécification OPAL
2. L'utilitaire sedutil-cli pour vérifier la conformité OPAL

Pour vérifier la prise en charge d'OPAL en utilisant l'utilitaire sedutil-cli (fourni par le package sedutil) avec la commande :

sudo sedutil-cli --scan

Comme déjà indiqué, les nouvelles options de chiffrement seraient disponibles via l'interface kickstart. Les utilisateurs pouvaient spécifier leur préférence en utilisant l'option --luks-version dans leurs fichiers kickstart.

Voici un exemple d'extrait kickstart pour le partitionnement automatique chiffré :

autopart --type=lvm --encrypted --passphrase="passphrase" --luks-version=luks2-hw-opal --opal-admin-passphrase="..."

Vérification

Après l'installation, les utilisateurs pouvaient vérifier la configuration du chiffrement en utilisant la commande cryptsetup luksDump.

sudo cryptsetup luksDump <device>

Remplacez <device> par le chemin vers votre périphérique chiffré (par exemple, /dev/sda2)

Vérifiez la section Segments de données de la sortie. Le contenu indiquera quelle méthode de chiffrement a été utilisée.

Pour le chiffrement matériel et logiciel combiné, vous verriez :

LUKS header information
Version:        2
  ...
Data segments:
   0: hw-opal-crypt

Pour le chiffrement matériel uniquement :

LUKS header information
Version:        2
  ...
Data segments:
   0: hw-opal

Pour le chiffrement logiciel uniquement (comportement par défaut) :

LUKS header information
Version:        2
  ...
Data segments:
   0: crypt

Avantages potentiels et considérations

Avantages possibles

• Améliorations des performances sur les systèmes à faible consommation
• Sécurité accrue grâce à un chiffrement par couches (lorsque l'on utilise à la fois le matériel et le logiciel)

Notes importantes

• La fonctionnalité serait optionnelle et non activée par défaut
• Cela nécessiterait une sélection explicite pendant l'installation
• L'utilisation du chiffrement matériel uniquement dépend de la mise en œuvre du fabricant du disque

Compatibilité et mises à niveau

Ce changement proposé n'affecterait que les nouvelles installations. Les systèmes existants ne seraient pas impactés par cette fonctionnalité.

Expérience utilisateur

Après l'installation, les utilisateurs ne devraient remarquer aucune différence, car le système se comportera de la même manière qu'avec un chiffrement de disque « normal ».

Prochaines étapes

Le comité directeur de l'ingénierie Fedora examinera cette proposition. Si elle est approuvée, elle pourrait apporter plus d'options de chiffrement à Fedora Linux 41, améliorant potentiellement la sécurité et les performances pour les utilisateurs disposant de matériel compatible.

Pour plus d'informations ou pour donner votre avis sur cette proposition, veuillez visiter le forum de discussion Fedora :

• F41 Proposition de modification : Prise en charge des disques auto-chiffrants dans l'installateur