Вот так доверять аппаратному шифрованию

зондов

я не силен в сектантской терминологии

Мою реализацию я считаю хорошей, а это самое для меня важное.

Ну это страусиный подход.

Для этого можно аппаратный полный сброс предусмотреть.

Вот пользователи обрадуются! Без этого у них был бы шанс зарегистрироваться на сайте MS, извлечь ключ восстановления и восстановить данные. А так только аппартный сброс, только хардкор.

А вторая цепочка бесполезна в любом случае.

А двух ОС на одном ноубтуке не бывает, видимо )

Вот пользователи обрадуются! Без этого у них был бы шанс зарегистрироваться на сайте MS, извлечь ключ восстановления и восстановить данные. А так только аппартный сброс, только хардкор.

Сброс не влияет на возможность восстановить данные, если только в схеме «восстановления ключа» нет очередного бекдора. Сбрасываем TPM, потом регистрируемся (или не потом, а заранее с другого устройства), узнаём ключ, записываем его в TPM, расшифровываем. Предыдущее состояние TPM (которое мы сбросили) тут не участвует.

А двух ОС на одном ноубтуке не бывает, видимо )

Они обе в первой цепочке должны быть, которая «или правильная подпись или не грузимся».

записываем его в TPM

Как? Ты же сам сказал, что не нужно загружать ОС, если ключи не те.

Они обе в первой цепочке должны быть

Опять же — а как они туда попадут, инсталлятор-то надо загрузить, а его ещё нет в доверенных.

Как? Ты же сам сказал, что не нужно загружать ОС, если ключи не те.

После сброса TPM ключей нет, он в режиме нового чистого устройства, готового прошиться любыми.

Опять же — а как они туда попадут, инсталлятор-то надо загрузить, а его ещё нет в доверенных.

Значит добавь его в доверенные (временно), в чём проблема? Ничего не меняется, только убирается бесполезный режим «запустимся но диск не расшифруем».

После сброса TPM ключей нет, он в режиме нового чистого устройства, готового прошиться любыми.

Ну и производителю ещё надо как-то узнать, какой именно ключ восстанавливать, а для этого хотелось бы загрузить ядро уже установленной ОС.

Ничего не меняется, только убирается бесполезный режим «запустимся но диск не расшифруем».

Все современные линуксы в этом бесполезном режиме грузятся при включённом SB. Shim подписан ключом MS, дальше он сбрасывает режим SB и грузит неподписанные бинарники граба, ядра линукс и так далее. TPM не используется.

Так что ты сейчас вредные предложения хочешь сделать.

Ну и производителю ещё надо как-то узнать, какой именно ключ восстанавливать, а для этого хотелось бы загрузить ядро уже установленной ОС.

Ты какую-то ерунду пишешь, включи мозг. Юзер знает какой у него сломался комп и именно тот ключ запрашивает. Старое состояние TPM (должно быть, а как сделали эти проприетарщики - не знаю) прибито к утерянному содержимому загрузочной зоны и без него полностью бесполезно и никаких данных о себе сообщать не должно - то есть его можно только сбросить к заводской чистоте. Загрузить уже установленную ОС можно будет после восстановления ключа, если диск умер не до конца.

Все современные линуксы в этом бесполезном режиме грузятся при включённом SB. Shim подписан ключом MS

Так это бред какой-то, возникший в результате проприетарщицких махинаций и неудавшихся попыток запретить не-винду на новых материнках. Никакого отношения к безопасности (для пользователя продукта) эта схема не имеет.

Юзер знает какой у него сломался комп и именно тот ключ запрашивает.

Ты серьёзно? Вот я переустановил Windows 32 раза, на сервере микрософта 32 разных ключа, какой восстанавливать? А у меня может быть даже не два и даже не пять ноутбуков — если я, например, школа, в которой 100 ноутбуков, которые учащиеся постоянно насилуют.

Куда проще дать ОС загрузиться и показать QR_код. К тому же см. ниже.

Никакого отношения к безопасности (для пользователя продукта) эта схема не имеет.

Это да, но эта схема позволяет грузить ОС, не использующие TPM, такие как Linux.

С десятой версии, емнип

По статистике гугла 87.6% всех устройств имеет версию 10 и выше. То есть большая часть устройств таки зашифрована.

Плюс если интересует безопасность, в любом случае человек должен иметь актуальную версию ОС, так как помимо добавления шифрования, есть вполне обычные дырки, а для слишком старых ОС не выпускают заплатки. Android 10 вышел 6 лет назад блин. Если кто-то им пользуется до сих пор, то для него безопасность явно не первостепенный вопрос - либо ему просто пофиг на смартфоны, либо у него главная проблема - найти денег хотя бы на еду.

Куда проще дать ОС загрузиться и показать QR_код. К тому же см. ниже.

Ладно, уговорил.

Это да, но эта схема позволяет грузить ОС, не использующие TPM, такие как Linux.

Это костыльная схема для обхода проприетарщицких фокусов. Правильное решение - отключить эти фокусы в биосе. Но проприетарщики и тут нагадили, отключения есть не везде. Зато есть костыль чтобы делать тоже самое уже после загрузки.

Это костыльная схема для обхода проприетарщицких фокусов.

Intel подарил нам свободу :-)