نام (NAME)

tpm2_policylocality - محدود کردن مجوز شیء TPM به سطوح محلی مشخص

خلاصه دستور (SYNOPSIS)

tpm2_policylocality [گزینه‌ها] [آرگومان]

توضیحات (DESCRIPTION)

دستور tpm2_policylocality(1) مجوز شیء TPM را به یک سطح محلی (locality) خاص TPM محدود می‌کند. زمانی مفید است که بخواهید تنها به یک سطح محلی خاص اجازه تعامل با شیء TPM را بدهید. یک سطح محلی منبع دستور را مشخص می‌کند؛ برای نمونه می‌تواند از لایهٔ برنامه کاربردی یا لایهٔ درایور باشد که هر یک عدد صحیح سطح محلی مختص به خود را دارند. سطوح محلی راهنمایی‌هایی برای TPM هستند و توسط نرم‌افزاری که با TPM ارتباط برقرار می‌کند اعمال و تحمیل می‌شوند. از این رو، آن‌ها به خودی خود ورودی‌های غیرقابل اعتماد (not trusted) محسوب شده و به روش‌های وابسته به بستر پیاده‌سازی می‌شوند.

این دستور به عنوان یک آرگومان، LOCALITY را به عنوان یک عدد صحیح یا نام کاربرپسند (friendly name) دریافت می‌کند.

سطوح محلی از نظر اندازه روی یک بایت ثابت هستند و دو نوع نمایش دارند: سطح محلی (locality) و سطح محلی تعمیم‌یافته (extended locality).

سطوح محلی ۰ تا ۴ نمایش عادی سطح محلی هستند و به صورت شاخص‌های بیت تنظیم‌شده نمایش داده می‌شوند. بنابراین سطح محلی ۰ با 1<<0 و سطح محلی ۴ با 1<<4 نشان داده می‌شود. به‌جای استفاده از اعداد خام، این سطوح محلی را می‌توان با نام‌های کاربرپسند زیر نیز مشخص کرد: - zero: سطح محلی ۰ یا 1<<0 - one: سطح محلی ۱ یا 1<<1 - two: سطح محلی ۲ یا 1<<2 - three: سطح محلی ۳ یا 1<<3 - four: سطح محلی ۴ یا 1<<4

هر مقداری در محدودهٔ ۳۲ تا ۲۵۵ از سطوح محلی تعمیم‌یافته محسوب می‌شود.

گزینه‌ها (OPTIONS)

•: -S، --session=FILE:

فایل نشست ایجادشده از گزینهٔ -S در tpm2_startauthsession(1).

•: -L، --policy=FILE:

فایل برای ذخیره دایجست خط‌مشی (policy digest).

•: آرگومان (ARGUMENT): آرگومان خط فرمان که شماره سطح محلی را مشخص می‌کند.
•: --cphash=FILE

مسیر فایل برای ثبت هش پارامترهای دستور. این مقدار معمولاً با نام cpHash شناخته می‌شود. نکته: هنگامی که این گزینه انتخاب شود، ابزار دستور را در عمل اجرا نمی‌کند، بلکه صرفاً مقدار cpHash را برمی‌گرداند.

مراجع (References)

گزینه‌های عمومی (COMMON OPTIONS)

این مجموعه از گزینه‌ها میان بسیاری از برنامه‌ها مشترک هستند و اطلاعاتی را ارائه می‌دهند که بسیاری از کاربران انتظار دارند.

•: -h، --help=[man|no-man]: نمایش صفحه راهنمای (manpage) ابزار. به‌طور پیش‌فرض، تلاش می‌کند صفحه‌بند راهنما (manpager) را برای ابزار فراخوانی کند؛ اما در صورت عدم موفقیت، خلاصه‌ای کوتاه از ابزار را خروجی می‌دهد. این رفتار مشابه زمانی است که آرگومان گزینهٔ “man” مشخص شود، اما در صورتی که به‌طور صریح “man” درخواست شود، ابزار خطاهای man را در stderr ارائه می‌دهد. اگر گزینهٔ “no-man” مشخص شود یا صفحه‌بند راهنما شکست بخورد، گزینه‌های کوتاه به stdout فرستاده می‌شوند.

برای استفاده موفقیت‌آمیز از ویژگی صفحات راهنما، نیاز است صفحات راهنما نصب شده باشند یا در MANPATH قرار داشته باشند؛ برای جزئیات بیشتر به man(1) مراجعه کنید.

•: -v، --version: نمایش اطلاعات نسخه برای این ابزار، TCTIهای پشتیبانی‌شده و خروج.
•: -V، --verbose: افزایش اطلاعاتی که ابزار در طول اجرای خود در کنسول چاپ می‌کند. هنگام استفاده از این گزینه، نام فایل و شماره خط چاپ می‌شوند.
•: -Q، --quiet: بی‌صدا کردن خروجی عادی ابزار به stdout.
•: -Z، --enable-errata: فعال‌سازی اعمال اصلاحات اشکالات (errata fixups). زمانی مفید است که نیاز باشد اصلاحات errata به دستورات ارسالی به TPM اعمال شوند. تعریف متغیر محیطی TPM2TOOLS_ENABLE_ERRATA نیز معادل این گزینه است.
•: -z، --pwd-session: استفاده از نشست گذرواژه‌ای به‌جای نشست HMAC برای احراز اصالت. یک گذرواژه متن‌آشکار (clear text) به TPM ارسال می‌شود تا عملیات را مجاز کند. این گزینه می‌تواند برای جلوگیری از مشکلات هنگام استفاده از نشست‌های بدون نمک (unsalted) در حالت OpenSSL FIPS استفاده شود. اگر مقادیر auth استفاده شوند، باید از یک نشست نمک‌دار (salted) برای احراز اصالت استفاده شود.
•: -R، --autoflush: فعال‌سازی تخلیه خودکار (autoflush) برای اشیاء گذرای ایجادشده توسط دستور. اگر یک شیء والد از یک فایل بافتار بارگذاری شود، شیء والد گذرا نیز تخلیه خواهد شد. تخلیه خودکار همچنین می‌تواند در صورتی که متغیر محیطی TPM2TOOLS_AUTOFLUSH روی yes یا true تنظیم شده باشد، فعال گردد.

پیکربندی TCTI (TCTI Configuration)

رابط انتقال یا TCTI مخفف “Transmission Interface”، سازوکار ارتباطی با TPM است. می‌توان TCTIها را برای ارتباط با TPM از طریق بسترهای مختلف تغییر داد.

برای کنترل TCTI، ابزارها موارد زیر را رعایت می‌کنند:

1.: گزینه خط فرمان -T یا --tcti
2.: متغیر محیطی: TPM2TOOLS_TCTI.

نکته: گزینه خط فرمان همیشه بر متغیر محیطی اولویت دارد.

TCTIهای شناخته‌شده کنونی عبارتند از:

•: tabrmd - مدیر منابع، موسوم به tabrmd. توجه داشته باشید که tabrmd و abrmd به عنوان نام tcti مترادف هستند.
•: mssim - معمولاً برای ارتباط با شبیه‌ساز نرم‌افزاری TPM استفاده می‌شود.
•: device - هنگام برقراری ارتباط مستقیم با فایل دستگاه TPM استفاده می‌شود.
•: none - هیچ اتصالی با TPM برقرار نمی‌کند. برخی ابزارها امکان استفاده از گزینه‌های خارج از TPM (off-tpm) را می‌دهند و بنابراین از عدم استفاده از TCTI پشتیبانی می‌کنند. ابزارهایی که از آن پشتیبانی نمی‌کنند، در صورت تلاش برای استفاده بدون اتصال TCTI خطا می‌دهند. از هیچ گزینه‌ای پشتیبانی نمی‌کند و باید حتماً دقیقاً به صورت متن “none” ارائه شود.

آرگومان‌های ارسال‌شده به گزینه خط فرمان یا متغیر محیطی به شکل زیر هستند:

<tcti-name>:<tcti-option-config>

مشخص کردن یک رشته خالی برای هر یک از <tcti-name> یا <tcti-option-config> باعث می‌شود که مقدار پیش‌فرض به ترتیب برای آن بخش استفاده شود.

پیش‌فرض‌های TCTI (TCTI Defaults)

هنگامی که یک TCTI مشخص نشده باشد، TCTI پیش‌فرض با استفاده از معناشناسی dlopen(3) جستجو می‌شود. ابزارها به دنبال TCTIهای tabrmd، device و mssim به همان ترتیب می‌گردند و از اولین موردی که یافت شد استفاده می‌کنند. می‌توانید با استفاده از گزینهٔ -v برای چاپ اطلاعات نسخه، بررسی کنید که کدام TCTI به عنوان پیش‌فرض انتخاب خواهد شد. جفت کلید-مقدار “default-tcti” نشان می‌دهد که کدام یک از TCTIهای یادشده پیش‌فرض است.

TCTIهای سفارشی (Custom TCTIs)

هر TCTI که رابط پویای TCTI را پیاده‌سازی کند می‌تواند بارگذاری شود. ابزارها در داخل از dlopen(3) استفاده می‌کنند و مقدار خام tcti-name برای جستجو استفاده می‌شود. بنابراین، این مقدار می‌تواند مسیری به کتابخانه مشترک یا نام کتابخانه‌ای باشد که بر اساس معناشناسی dlopen(3) قابل فهم است.

گزینه‌های TCTI (TCTI OPTIONS)

این مجموعه از گزینه‌ها برای پیکربندی ماژول‌های مختلف TCTI شناخته‌شدهٔ موجود استفاده می‌شوند:

•: device: برای TCTI دستگاه (device)، فایل دستگاه نویسه‌ای (character device) TPM جهت استفاده توسط TCTI دستگاه می‌تواند مشخص شود. پیش‌فرض /dev/tpm0 است.

مثال: -T device:/dev/tpm0 یا export TPM2TOOLS_TCTI=“device:/dev/tpm0”

•: mssim: برای TCTI شبیه‌ساز mssim، نام دامنه یا آدرس IP و شماره درگاه (پورت) استفاده‌شده توسط شبیه‌ساز می‌تواند مشخص شود. مقادیر پیش‌فرض 127.0.0.1 و 2321 هستند.

مثال: -T mssim:host=localhost,port=2321 یا export TPM2TOOLS_TCTI=“mssim:host=localhost,port=2321”

•: abrmd: برای TCTI abrmd، قالب رشته پیکربندی شامل مجموعه‌ای از جفت‌های کلید-مقدار ساده است که با نویسه `,' از هم جدا شده‌اند. رشته‌های هر کلید و مقدار با نویسه `=' از یکدیگر تفکیک می‌شوند.

•: ماژول TCTI abrmd از دو کلید پشتیبانی می‌کند:

1.: `bus_name' : نام سرویس tabrmd روی گذرگاه (یک رشته).
2.: `bus_type' : نوع نمونه dbus (یک رشته) محدود به `session' و `system'.

مشخص کردن نام tcti معادل tabrmd و رشته پیکربندی bus_name=com.example.FooBar:

\--tcti=tabrmd:bus_name=com.example.FooBar

مشخص کردن tcti پیش‌فرض (abrmd) و رشته پیکربندی bus_type=session:

\--tcti:bus_type=session

نکته: abrmd و tabrmd مترادف یکدیگرند.

مثال‌ها (EXAMPLES)

شروع یک نشست خط‌مشی (policy) و گسترش آن با یک شماره سطح محلی خاص (مانند ۳). تلاش برای انجام سایر عملیات با شکست مواجه خواهد شد.

ایجاد یک خط‌مشی محدودشده به سطح محلی ۳ (Create a policy restricted by locality 3)

tpm2_startauthsession -S session.dat
tpm2_policylocality -S session.dat -L policy.dat three
tpm2_flushcontext session.dat

ایجاد شیء با خط‌مشی احراز اصالت (Create the object with auth policy)

tpm2_createprimary -C o -c prim.ctx
tpm2_create -C prim.ctx -u sealkey.pub -r sealkey.priv -L policy.dat \
-i- <<< "SEALED-SECRET"

آزمودن عملیات بازگشایی پلمب (Try unseal operation)

tpm2_load -C prim.ctx -u sealkey.pub -r sealkey.priv -n sealkey.name \
-c sealkey.ctx
tpm2_startauthsession \--policy-session -S session.dat
tpm2_policylocality -S session.dat -L policy.dat three
# Change to locality 3, Note: this operation varies on different platforms
tpm2_unseal -p session:session.dat -c sealkey.ctx
tpm2_flushcontext session.dat