Защитата от атаки на BitLocker срещу производителността. Защо Linux изключи TPM криптирането по подразбиране

Производителността е водеща, а безопасността остава по избор.

Миналата година Linux 6.10 въведе криптирането на шините и сигурността на комуникацията Trusted Platform Module 2.0. Това подобрение беше въведено след демонстрации на атаки, при които изследователи показаха възстановяване на BitLocker ключовете и прихващане на TPM трафика. Веднага след сливането функцията беше активирана по подразбиране само за x86_64, защото именно там беше тествана. Сега, повече от година по-късно, поведението се променя. В основния клон на ядрото тази функция вече е изключена по подразбиране.

Промяната вече е въведена в Linux 6.18 ядрото и е отбелязана за пренасяне обратно в поддържаните клонове, които са започнали живота си с 6.10, като 6.12 LTS и 6.17. Става въпрос за конфигурационния превключвател TCG_TPM2_HMAC. Той не изчезва и остава на разположение на всички, които се нуждаят от HMAC и криптиране на транзакции в TPM шината, но вече не е активен по подразбиране в компилациите на ядрото за x86_64 архитектурите.

Причината за тази промяна е проста. Разработчиците са съгласни, че настоящата реализация осезателно забавя системата, а ползата все още не се простира до статута на функция, която е активирана за всички без изключение. Кодът с промяната вече е приет. След това екипът на ядрото ще има възможност да оцени по-спокойно реалната полза за сигурността и да работи върху оптимизации, за да върне включването по подразбиране в някоя от следващите версии, ако балансът между сигурност и производителност се подобри.

За потребителите това означава възможност за свободен избор. За тези, които искат максимална защита на операционната система с TPM 2.0, няма причина ръчно да включват TCG_TPM2_HMAC при изграждането на ядрото или в настройките на дистрибуцията. За тези, които разчитат на стандартните компилации, промяната ще намали натоварването на системата, без да се отказват от самата функция. Екипът на ядрото оставя опцията в арсенала и продължава да търси конфигурация, която ще даде осезаема полза за сигурността без излишна загуба на скорост.