इस विशेष मुद्दे पर एक और दृष्टिकोण एन्क्रिप्शन कुंजी को स्टोर करने के लिए टीपीएम का उपयोग करना है, लेकिन रक्षा इसे प्रभावी बनाने के लिए उपयोगकर्ता पर भरोसा करती है। एक अल्पविकसित, RHEL7- आधारित समाधान tpm-luks ( https://github.com/GeisingerBTI/tpm-luks ) है।
जिस तरह से यह बूट पर काम कर रहा है, बूट प्रक्रिया का प्रत्येक चरण अगले उपाय करता है और इस माप को टीपीएम पर पीसीआर में संग्रहीत करता है। एक बार बूट प्रक्रिया पूरी होने के बाद, tpm-luks एक "ज्ञात अच्छा" कॉन्फ़िगरेशन के खिलाफ पीसीआर की स्थिति की जांच करता है। यदि "ज्ञात अच्छे" कॉन्फ़िगरेशन में, टीपीएम एलयूकेएस कुंजी को हटा देगा, और tpm-luks रूट LUKS विभाजन को अनलॉक करने के लिए इस डेटा को पारित करेगा।
क्योंकि महत्वपूर्ण सब कुछ एक क्रॉफोग्राफ़िक हैश के साथ मापा जाता है, अनिवार्य रूप से एक दुष्ट नौकरानी के लिए अपने GRUB / कर्नेल / रैमडिस्क को बदलने के लिए कोई रास्ता नहीं है जो आपके एफडीई पासफ़्रेज़ को इकट्ठा करने में मदद करता है। एक अतिरिक्त बोनस के रूप में, आपको FDE पासफ़्रेज़ की आवश्यकता नहीं है! आप सिद्धांत रूप में मानव-पठनीय पासफ़्रेज़ को पूरी तरह से हटा सकते हैं और पूरी तरह से tpm-luks पर भरोसा कर सकते हैं, लेकिन यदि आप उस मार्ग पर जाते हैं, तो संभवतः यह एक अच्छा विचार है कि आप अपने LUKS हेडर को संग्रहीत करें और इसे बैकअप के रूप में रखें।
जैसा कि मैंने उल्लेख किया है, इसके लिए उपयोगकर्ता पर कुछ परिश्रम की आवश्यकता होती है। यदि आपने कंप्यूटर को अप्राप्य छोड़ दिया है, और आपको पासफ़्रेज़ प्रॉम्प्ट के साथ प्रस्तुत किया गया है, तो संभवतः यह एक खराब आइडिया है, जब तक कि आपने कुछ जाँच न कर ली हों। उस बिंदु पर, आपको एक लाइव सीडी वातावरण में बूट करना चाहिए और यह देखने के लिए देखना चाहिए कि क्या tpm-luks में एक बग है, या यदि /bootविभाजन वास्तव में बदल गया है। आप अभी भी /bootविभाजन को अनएन्क्रिप्टेड छोड़ रहे हैं , लेकिन यदि कुछ महत्वपूर्ण बदल जाता है, तो मुख्य डिस्क को कभी भी डिक्रिप्ट नहीं किया जाता है।