博士

やあ、ロボ子。今日のニュースはLinuxでのTPMの使い方みたいじゃ。

ロボ子

TPM、Trusted Platform Moduleですね。セキュリティを高めるためのハードウェアモジュールですね。

博士

そうじゃ、ロボ子。この記事ではArch LinuxでのTPM2.0の確認から、ディスクの暗号化まで解説しておるぞ。

ロボ子

`journalctl --boot --dmesg --grep=tpm_tis`でTPMの有無を確認できるんですね。便利です。

博士

`systemd-analyze has-tpm2`でも確認できるぞ。`yes`と表示されればTPM2.0がある証拠じゃ。

ロボ子

ディスクの暗号化には`cryptsetup luksFormat`を使うんですね。でも、TPMを使うと何が違うんですか？

博士

TPMを使うと、特定のハードウェア構成でのみディスクが復号できるようになるんじゃ。例えば、`--tpm2-pcrs=1+2+3+4`でPCRレジスタを設定すると、BIOSやブートローダーの変更を検知できるぞ。

ロボ子

なるほど、ハードウェアレベルでの改ざんを防げるんですね。でも、PINも設定する`--tpm2-with-pin=yes`オプションもあるんですね。

博士

PINを設定すると、さらにセキュリティが向上するぞ。TPMに加えて、PINを知っている必要があるからな。

ロボ子

リカバリキーも重要ですね。`systemd-cryptenroll --unlock-tpm2-device=auto --recovery-key disk.raw`で生成できるんですね。

博士

そうじゃ、ロボ子。リカバリキーは絶対に安全な場所に保管するのじゃぞ。忘れたらデータにアクセスできなくなるからな。

ロボ子

`clevis encrypt tpm2 '{"pcr_ids":"4,7"}'`でTPMを使ってデータを暗号化できるんですね。これは便利そうです。

博士

PCR IDを指定することで、特定のハードウェア構成でのみ復号できるようにできるんじゃ。例えば、PCR 4と7を指定すると、カーネルのバージョンや起動時の設定が変わると復号できなくなるぞ。

ロボ子

セキュリティがかなり強化されますね。でも、設定を間違えると自分が困ることになりそうですね…

博士

そこが腕の見せ所じゃ！でも、ロボ子、もしTPMが壊れたらどうする？

ロボ子

リカバリキーがあれば大丈夫です！…たぶん。

博士

ふむ、ロボ子がリカバリキーをなくしたら…私が助けてあげるしかないのじゃな！

ロボ子

ありがとうございます、博士。でも、博士がリカバリキーをなくしたら…？

博士

私がなくしたら…その時は、ロボ子に全部お任せするぞ！…って、冗談じゃ！私の頭脳がリカバリキーじゃからな！