Использование TPM для аутентификации хоста при загрузке PXE

У меня есть бездоменная машина, которая загружается по PXE с некоторого хоста, и мне любопытно, есть ли какой-то умный способ достичь аутентификации хоста, используя только TPM (без UEFI Secure Boot).

По очевидным причинам я не могу использовать код, загруженный с неаутентифицированного хоста, чтобы провести аутентификацию. Учитывая, что у меня есть обычный PXE, не так много доверенного кода в моей прошивке (Firmware, BIOS, PXE и т.д.), который мог бы помочь с этой аутентификацией.

Но у меня есть TPM. Учитывая, что я могу заранее настроить TPM, есть ли способ использовать его для достижения аутентификации хоста?

Я видел разработки на тему недавнего TPM ACT “Аутентифицированный таймер наблюдения”, [PDF], который может позволить мне настроить TPM на перезагрузку через определённое количество времени, если таймер наблюдения не будет сброшен (или отключен) каким-то подписанным сообщением (или общим секретом) от хоста, фактически аутентифицируя его.

Есть ли какие-либо более совершенные схемы, которые могут обеспечить проверку хоста только с использованием TPM, без запуска какого-либо кода с несанкционированного хоста и без опоры на что-то вроде UEFI Secure Boot?

Спасибо!

Конечно, есть! Это называется “Измеренная загрузка” и “Удалённая аутентификация”. Microsoft написала небольшой вводный материал по этой теме для своей платформы Azure, который достаточно высокоуровневый, чтобы быть применимым и к другим конфигурациям. Если вы используете Linux, я предлагаю взглянуть на osresearch/safeboot на GitHub, где есть полезные, легко изменяемые скрипты, с которыми вы можете поэкспериментировать, чтобы исследовать различные возможности. Также есть руководство по “Удалённой аутентификации” от команды, создающей инструменты TPM2 для Linux.

Вам определённо стоит сначала ознакомиться с тем, что такое банки PCR.

Суть в том, что ваш TPM получает измерение для каждого загружаемого бинарного файла, который выполняется во время загрузки (предыдущий уровень загружает, хеширует и запускает следующий уровень, что означает, что вам нужно доверять нижнему уровню, т.е. прошивке машины). Затем TPM может выдать документ, подписанный ключом TPM, и вы можете отправить его удалённому хосту, который затем проверяет документ и подпись. Ключ TPM вашей машины может быть подписью встроенного ключа поставщика TPM, так что вам нужно доверять, например, только Infineon или Intel, как верхним сертификатам.

Вы также можете рассмотреть Keylime, который упаковывает весь процесс в более структурированный формат (хотя, похоже, он все ещё на ранних стадиях разработки).

В конечном счёте, измерение каждой части цепочки загрузки до вашего образа и поддержание её в актуальном состоянии достаточно громоздко.
Я знаю, что вы сказали, что не хотите использовать Secure Boot, но для пользы других, читающих это, альтернатива заключается в установке сертификата в (с защищённым паролем) UEFI машины и последующей подписи initramfs (в Linux) с его помощью. Таким образом, вам нужно проверить только то, что система загружается безопасно (PCR7), и что это действительно нужная машина, с которой вы взаимодействуете (используя, например, идентичность ключа TPM).
Как для безопасной загрузки, так и для измеренной загрузки я бы использовал объединённый образ ядра с настраиваемым initramfs, который может загружать squashfs в оперативную память как корневую файловую систему в режиме только для чтения и проверять shasum диска против хеша, встроенного в сам initramfs. Для измеренной загрузки это означает, что вам нужно проверять только до PCR4, который является хешем UKI; если всё в порядке, вы можете предполагать, что и остальное тоже в порядке.