Fedora + TPM 2.0：LUKSを自動解除して安全かつ「爆速」で起動する方法 – ITFROMZERO

Table of Contents

毎朝の「LUKSパスワード入力」という苦行

私は2年以上、Fedoraをメインの作業マシンとして愛用しています。すべてが快適なのですが、起動するたびに表示される真っ黒な画面でのLUKSパスワード要求だけは閉口していました。セキュリティのために20文字以上の長いパスワードを設定していると、入力ミスをして打ち直すのは本当に時間の無駄です。

ThinkPadのTPM 2.0チップによる自動解除機能を半年間試した結果、これが最適な解決策だと確信しました。データは安全なまま、パスワード入力を待つ代わりに電源ボタンを押してコーヒーを淹れに行けます。戻ってきた頃には、GNOMEのログイン画面があなたを待っているはずです。

クイックスタート：5分で完了する設定手順

「手っ取り早く済ませたい」という方のために、すぐに実行できる簡略化された手順を紹介します。

ステップ1：ツールのインストール

FedoraはTPMチップと「通信」するために clevis を使用します。ターミナルを開き、以下のパッケージをインストールしてください：

sudo dnf install clevis clevis-luks clevis-dracut -y

ステップ2：LUKSパーティションの確認

ロックされているドライブを特定する必要があります。lsblk -f コマンドで詳しく確認しましょう：

lsblk -f

crypto_LUKS という行に注目してください。最近のラップトップでは /dev/nvme0n1p3、古いSSDでは /dev/sda3 などになっていることが一般的です。

ステップ3：LUKSとTPM 2.0チップの「紐付け」

以下のコマンドを実行してキーをリンクさせます（先ほど確認したパーティション名に置き換えてください）：

sudo clevis luks bind -d /dev/nvme0n1p3 tpm2 '{}'

この際、所有権を確認するために、現在のLUKSパスワードを最後に入力するよう求められます。

ステップ4：ブートローダーの更新

起動直後からFedoraがclevisを使用できるように、initramfs を更新する必要があります：

sudo dracut -f

これで再起動してみてください。ユーザーログイン画面に直接進めば成功です！

なぜこの仕組みでも安全だと言えるのか？

自動解除にすると暗号化が無意味になるのではないかと心配する人もいるでしょう。しかし実際には、TPM 2.0チップは想像以上にスマートです。

TPM 2.0チップの役割

TPMはマザーボード上の独立したセキュリティコンポーネントです。パスワードを通常の方法で保存するのではなく、「デジタル金庫」を作成し、コンピュータのハードウェアが元の状態と完全に一致する場合にのみ、鍵を放出します。

PCRメカニズム：システムの「指紋」

これが最も重要な防御線です。TPMチップはPCR（Platform Configuration Registers）と呼ばれる、いわばマシンのセキュリティチェックリストを確認します。

PCを紛失した場合： 犯人がドライブを取り出して別のPCに接続したとしても、PCR値が完全に異なるため、TPMは即座にロックし、鍵を渡しません。
ファームウェアがハッキングされた場合： 誰かがBIOSに干渉して不正なUSBから起動しようとしても、TPMは変更を検知し、自動解除を拒否します。

デフォルトでは、clevis はPCR 7（Secure Bootの状態）を利用します。つまり、オリジナルのFedora OSが正しく起動された場合にのみ、自動で「ドア」を開けます。

応用：セキュリティを極めるためのPCRカスタマイズ

より慎重を期すなら、特定のPCR値を指定しましょう。私はバランスの取れた1, 4, 7のセットをよく使います：

sudo clevis luks bind -d /dev/nvme0n1p3 tpm2 '{"pcr_ids":"1,4,7"}'

PCR 1： マザーボードとチップセットの構成を監視します。
PCR 4： ブートローダーの整合性をチェックします。
PCR 7： Secure Bootが有効であることを保証します。

警告： BIOSのアップデートやSecure Bootの設定変更を行うと、これらの値が変化します。その場合、手動でパスワードを求められますが、古いパスワードを入力して再度bindコマンドを実行すれば元通りになります。

半年間運用してみての知見

自動暗号化システムは非常に快適ですが、以下の「生存ルール」を忘れないでください：

1. 元のパスワードを絶対に削除しないこと

LUKSは最大8つの鍵（スロット）を保存でき、Clevisはそのうちの1つだけを使用します。自分が覚えているパスワードスロットは必ず残しておいてください。TPMチップの故障やマザーボードの破損時には、それがデータを救う唯一の手段になります。

スロットの状態は以下のコマンドで確認できます：

sudo cryptsetup luksDump /dev/nvme0n1p3

2. LUKSヘッダーをすぐにバックアップする

ヘッダーは暗号化パーティションの「脳」です。ディスクエラーなどでヘッダーが破損すると、どんなパスワードも無意味になります。システムのバックアップファイルをUSBや安全なクラウドにコピーしておきましょう：

sudo cryptsetup luksHeaderBackup /dev/nvme0n1p3 --header-backup-file fedora_luks_backup.img

3. カーネルアップデートも安心

Fedoraでは、dnf がカーネルをアップグレードするたびに、dracut を自動的に呼び出してブート設定を再構築します。clevis-dracut パッケージのおかげで、アップデート後も自動解除機能は非常に安定して動作します。これは他のディストリビューションと比較してFedora의の特に優れた点です。

まとめ

LUKSとTPM 2.0の組み合わせは、WindowsのBitLockerやmacOSのFileVaultに引けを取らないプロフェッショナルな体験を提供します。利便性を手に入れつつ、機密データのプライバシーもしっかり守れます。Fedoraをワークステーションとして使用しているなら、毎朝の無意味なキー入力を省くために、今すぐ設定することをおすすめします。