El cifrado de disco completo (FDE) respaldado por TPM y el arranque seguro ofrecen una protección sólida para su sistema Ubuntu 24.04, protegiendo sus datos del acceso no autorizado y ataques a nivel de arranque. Ubuntu 24.04 introduce soporte integrado para estas tecnologías, pero el proceso de configuración implica varios pasos críticos y requisitos previos de hardware. Esta guía detalla cómo configurar FDE respaldado por TPM y el arranque seguro, aborda problemas comunes del instalador y explica los ajustes posteriores a la instalación para una experiencia fluida y segura.
Requisitos y contexto técnico
FDE respaldado por TPM y arranque seguro requieren:
- Un sistema con TPM 2.0 habilitado en BIOS/UEFI.
- Firmware UEFI con soporte de arranque seguro (habilitado en BIOS/UEFI).
- Medios de instalación de Ubuntu 24.04 (ISO oficial, no a través de herramientas de arranque múltiple como Ventoy).
- La conexión a Internet es opcional, pero se recomienda para las actualizaciones (evite habilitar controladores de terceros durante la instalación para obtener mejores resultados).
FDE respaldado por TPM aprovecha el Módulo de plataforma segura para almacenar claves de cifrado y desbloquea el disco solo si el proceso de arranque coincide con el estado medido esperado. El arranque seguro garantiza que solo se ejecuten kernels y cargadores de arranque firmados y confiables, lo que bloquea la manipulación antes de que se cargue el sistema operativo.
Método 1: instalación nueva con cifrado TPM y arranque seguro
Este es el enfoque más confiable para la mayoría de los usuarios. El instalador de Ubuntu 24.04 admite FDE respaldado por TPM y arranque seguro, pero ciertas configuraciones del BIOS y del instalador pueden bloquear estas opciones.
Paso 1: Prepare su sistema
Ingrese su configuración de BIOS/UEFI. Habilitar ambosTPM 2.0(a veces llamado PTT o fTPM) yArranque seguro. Si su sistema ha utilizado anteriormente BitLocker u otro sistema operativo con TPM, borre el TPM del BIOS para restablecer su estado. Guardar y salir.
Paso 2: Crear una unidad USB de arranque
Utilice la ISO oficial de Ubuntu 24.04 y cree una unidad USB de arranque con una herramienta comoddo Rufo. Evite herramientas de arranque múltiple como Ventoy, ya que pueden interferir con las mediciones de arranque seguro y TPM.
Paso 3: Arrancar directamente desde USB en modo UEFI
Asegúrese de iniciar el instalador en modo UEFI (no en BIOS heredado). Esto es crucial para que Secure Boot y FDE respaldado por TPM funcionen correctamente.
Paso 4: Inicie el instalador de Ubuntu
Continúe por las pantallas de configuración de idioma, teclado y red. Cuando se le solicite el tipo de instalación, seleccioneBorrar disco e instalar Ubuntu. Hacer clicFunciones avanzadas...y buscarUtilice cifrado de disco completo respaldado por TPMyUsar arranque seguroopciones. Si están atenuados:
- No seleccione controladores o códecs de terceros durante la instalación, ya que esto puede desactivar la opción TPM/FDE.
- Asegúrese de que TPM no esté bloqueado ni aprovisionado por otro sistema operativo. Borre TPM si es necesario.
- Asegúrese de que el arranque seguro esté habilitado y que las claves estén configuradas en el estado predeterminado o de fábrica.
Paso 5: Instalación completa
Establezca una frase de contraseña segura cuando se le solicite. Esta frase de contraseña se utiliza para proteger su clave de recuperación. Después de la instalación, reinicie y retire la unidad USB. En el primer inicio, el sistema debería desbloquear el disco automáticamente usando TPM, siempre que la ruta de inicio coincida con el estado esperado.
Paso 6: Verifique el arranque seguro y el cifrado TPM
sudo mokutil --sb-state
[ -d /sys/firmware/efi ] && echo "UEFI" || echo "BIOS"El primer comando verifica el estado de arranque seguro; el segundo confirma que has iniciado en modo UEFI. Para verificar el estado de TPM, usesudo tpm2_getcap properties-fixed(requieretpm2-toolspaquete).
Paso 7: Registre su clave de recuperación
FDE respaldado por TPM almacena una clave de recuperación en el disco. Puedes visualizarlo usandosnap recovery --show-keysdesde un entorno vivo si es necesario. Guarde esta clave de forma segura, ya que es necesaria si las mediciones de TPM cambian o se borra el TPM.
Método 2: solución de problemas del instalador y errores comunes
Algunos usuarios encuentran opciones TPM/FDE atenuadas o solicitudes repetidas de claves de recuperación. Estos problemas suelen estar relacionados con la configuración del BIOS, las opciones del instalador o las peculiaridades del hardware.
Paso 1: Borrar TPM y restablecer claves de arranque seguro
En BIOS/UEFI, borre el TPM y restablezca las claves de arranque seguro a los valores predeterminados de fábrica. En algunos sistemas (especialmente Lenovo), es posible que también deba desactivar el "Bloqueo de orden de arranque" o configuraciones similares que impiden cambios en el orden de arranque UEFI.
Paso 2: No habilite controladores de terceros durante la instalación
Habilitar controladores o códecs propietarios durante la instalación puede deshabilitar la opción TPM/FDE en el instalador. Elija una instalación sin conexión u omita el software de terceros para asegurarse de que aparezca la opción de cifrado.
Paso 3: Borrar el bloqueo de TPM del entorno en vivo
Si el TPM está en modo de bloqueo DA, es posible que deba borrarlo de la sesión en vivo del instalador:
sudo apt install tpm2-tools
sudo tpm2_clear
echo 5 | sudo tee /sys/class/tpm/tpm0/ppi/request
# Reboot, then run tpm2_clear again if necessaryEsto restablece el TPM, resolviendo problemas de bloqueo que pueden bloquear la configuración de FDE.
Paso 4: Utilice el modo 'Gráficos seguros' si el instalador falla
Algunos usuarios informan que el instalador falla a menos que se utilice el modo "Gráficos seguros". Esto también puede permitir que aparezcan opciones de TPM/FDE y evitar congelaciones a mitad de la instalación.
Paso 5: Eliminar todas las particiones existentes
Si anteriormente usó BitLocker u otro sistema operativo con cifrado de disco, elimine todas las particiones existentes usando la utilidad Discos del entorno en vivo antes de iniciar el instalador de Ubuntu. Esto evita conflictos con los metadatos de cifrado sobrantes.
Método 3: habilitar la postinstalación de arranque seguro
Si instaló Ubuntu 24.04 sin arranque seguro, puede habilitarlo después, aunque esto puede requerir pasos adicionales para garantizar que el sistema arranque correctamente.
Paso 1: Verifique el estado actual de arranque seguro
sudo mokutil --sb-stateSi el arranque seguro está deshabilitado, vaya a la configuración BIOS/UEFI de su sistema y habilítelo. Asegúrese de seleccionar el modo de arranque seguro estándar o "compatible con Windows", como lo requiere Ubuntu 24.04.
Paso 2: Instalar cargadores de arranque firmados
sudo apt update
sudo apt install shim-signed grub-efi-amd64-signedEsto garantiza que los componentes de arranque firmados necesarios estén presentes.
Paso 3: Verificar la entrada de arranque UEFI
sudo efibootmgr -vConfirme que la entrada de su arranque apunta a\EFI\ubuntu\shimx64.efi. Si falta, créelo con:
sudo efibootmgr --create --disk /dev/sda --part 1 --label "Ubuntu" --loader "\EFI\ubuntu\shimx64.efi"Ajuste los números de disco y partición según sea necesario para su configuración.
Paso 4: Reinicie y confirme el arranque seguro
Después de habilitar el arranque seguro en BIOS/UEFI y confirmar la entrada de arranque, reinicie. Usarsudo mokutil --sb-statenuevamente para verificar que el arranque seguro ahora esté habilitado.
Paso 5: Registre claves MOK si utiliza controladores de terceros
Si necesita módulos de kernel sin firmar (por ejemplo, NVIDIA, VirtualBox), genere e inscriba una clave de propietario de máquina (MOK):
openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -days 36500 -subj "/CN=Your Name/"
sudo mokutil --import MOK.derEn el próximo inicio, siga las instrucciones de inscripción de MOK para completar el proceso.
Conceptos clave: cómo funcionan juntos FDE respaldado por TPM y el arranque seguro
FDE respaldado por TPM utiliza el TPM para sellar la clave de cifrado del disco, lo que permite el desbloqueo automático solo si el proceso de arranque coincide con el estado medido y confiable. Secure Boot verifica la firma de cada componente de arranque, bloqueando la ejecución de código no autorizado. La combinación previene tanto los ataques a discos fuera de línea como el malware a nivel de arranque.
Tenga en cuenta que las actualizaciones del kernel o initramfs pueden cambiar las mediciones de TPM, lo que requiere una clave de recuperación para desbloquear el disco. Mantenga siempre segura su clave de recuperación y considere volver a sellar la clave TPM después de actualizaciones importantes del sistema si se le solicita.
Con la preparación adecuada y una cuidadosa atención a la configuración del instalador, el cifrado de disco completo respaldado por TPM y el arranque seguro en Ubuntu 24.04 ofrecen una importante mejora de seguridad. Si tiene problemas, verifique la configuración de BIOS/UEFI, las opciones del instalador y mantenga su clave de recuperación accesible para emergencias.
