Fedora 41 Anaconda 安装程序中的自加密驱动支持
三位红帽工程师已提交了一个 Fedora Linux 41 的变更提案。如果获得批准，该变更将在 Fedora 的 Anaconda 安装程序中增加对 TCG OPAL2 兼容驱动器的 本地硬件加密的可选支持。这一新的提议的 自加密驱动支持 将在 Fedora Linux 41 中可用，并且只会影响新安装。
提案
Vojtech Trefny、Ondrej Kozina 和 Jiri Konecny 来自红帽公司，他们提出了增强 Fedora 磁盘加密选项的方案。他们的建议旨在在安装过程中利用自加密驱动器（SEDs）的功能。
更清楚地说，他们的建议旨在在 Fedora 安装程序 Anaconda 配置磁盘加密时，引入对在 TCG OPAL2 兼容驱动器上使用本地硬件加密的可选支持。
此功能将在设置磁盘加密时为用户提供额外的安全性和灵活性层。
什么是自加密驱动器和OPAL2？
自加密驱动器（SEDs）在其硬件内执行加密和解密操作。由可信计算组开发的TCG OPAL2标准定义了一组针对存储设备的特定安全功能，包括自加密。
所提议的更改特别针对符合此 OPAL2 标准的驱动器。重要的是要注意，虽然所有符合 OPAL2 标准的驱动器都是自加密的，但并非所有自加密驱动器都一定遵循 OPAL2 标准。
建议的安装选项
如果获得批准，更改将在 Fedora 的 Anaconda 安装程序中设置加密存储时添加两个新选项：
- 仅硬件加密
- 硬件和软件结合的加密
这些选项将为拥有兼容硬件的用户提供更多灵活性。
有什么变化？
拟议的更改将扩展现有的 --luks-version 选项在 kickstart 接口中，以启用硬件加密。将提供两个新选项：
--luks-version=luks2-hw-opal：仅启用硬件加密--luks-version=luks2-hw-opal-crypt：启用硬件加密与软件加密的组合
请注意，此功能将仅通过Kickstart界面提供，默认情况下不会启用。用户必须明确选择此选项才能使用硬件加密。
拟议实施
要测试此功能，用户需要：
- 支持 OPAL 规范的磁盘
- 用于检查 OPAL 合规性的
sedutil-cli工具
要使用 sedutil-cli 工具（由 sedutil 软件包提供）通过以下命令检查 OPAL 支持：
sudo sedutil-cli --scan如前所述，新加密选项将通过 kickstart 界面 提供。用户可以在他们的 kickstart 文件中使用 --luks-version 选项来指定他们的偏好。
这里是一个用于加密自动分区的 kickstart 示例片段：
autopart --type=lvm --encrypted --passphrase="passphrase" --luks-version=luks2-hw-opal --opal-admin-passphrase="..."验证
安装后，用户可以使用 cryptsetup luksDump 命令来验证加密设置。
sudo cryptsetup luksDump <device>将 <device> 替换为你加密设备的路径（例如，/dev/sda2）
检查输出的数据段部分。内容将显示使用了哪种加密方法。
对于硬件和软件结合的加密，您会看到：
LUKS header information
Version: 2
...
Data segments:
0: hw-opal-crypt仅用于硬件加密：
LUKS header information
Version: 2
...
Data segments:
0: hw-opal仅用于软件加密（默认行为）:
LUKS header information
Version: 2
...
Data segments:
0: crypt潜在的好处与考量
可能的优势
- 在低功耗系统上的性能改进
- 通过分层加密（同时使用硬件和软件）提高安全性
重要说明
- 该功能是可选的，默认情况下不会启用
- 在安装过程中需要显式选择
- 仅使用硬件加密取决于驱动器制造商的实现
兼容性与升级
此提议的更改只会影响新安装。现有系统不会受到此功能的影响。
用户体验
安装后，用户不应该注意到任何差异，因为系统的行为将与“普通”磁盘加密相同。
下一步
Fedora 工程指导委员会将审核此提案。如果获批，它可能为 Fedora Linux 41 带来更多加密选项，从而有可能提升兼容硬件用户的安全性和性能。
如需更多信息或对本提案提供反馈，请访问 Fedora 讨论论坛：
- F41 变更提案：安装程序中支持自加密驱动器