Il CHIP che Microsoft ti ha infilato nel... PC.

[@morrolinux]

NordVPN: Clicca qui per accedere all'offerta nordvpn.com/morrolinux 🎓 Vuoi acquisire *solide conoscenze* nell'ambito del NETWORKING o diventare un PROFESSIONISTA LINUX CERTIFICATO? Il modo migliore per cominciare è seguire un corso *ben strutturato* e *semplice da seguire* , ma soprattutto tenuto da un docente sempre disponibile per *rispondere alle tue domande.* Tengo corsi per tutti i livelli, visita morrolinux.it per maggiori informazioni.

[@peppesantarsiero4532]

Morrolinux, Parlerai della distro italiana per la didattica so.di.linux ?

[@CoderChiud]

trovo che il tpm sia una cavolata, in futuro se dovessi prendere un pc lo lascio in default oppure se riesco lo disabilito perché è troppo pericoloso, non hai valutato se in caso dovessi perdere la password tpm, non potrai recuperare nulla.

[@peppesantarsiero4532]

@Emanuele Persano no, meglio Fedora Linux o Debian pulito per i miei gusti, ho sentito parlare di sodilinux di recente, lo proverò ma non lo installerei mai in baremetal, vorrei capire quali applicazioni sono presenti.

[@WhiteRabbit_79]

Il tuo video mi fa riflettere su quanto sia distante il mondo business da quello home.. nel 2001 ho iniziato a lavorare nell'IT di una grande compagnia americana che si occupa di consulenza informatica, dopo circa una decina di anni è stato implementato il TPM 1.2 in tutti i laptop aziendali con la richiesta di pin bitlocker all'avvio ed è tutt'ora utilizzata con versioni TPM ovviamente aggiornate, oggi forse l'esistenza di questo sistema hw è emerso solo per le richieste minime di Windows 11.. Bel video, grazie!

[@joepigna6146]

Ottimo video,come sempre, sono anni che valuto sempre se criptare il disco oppure no. Penso sia un arma a doppio taglio, in caso di problemi si rischia di rimanere tagliati fuori. Forse è meglio criptare un solo volume dove tenere i dati veramente sensibili

[@trapanus]

Mai argomento così complesso fu spiegato in maniera così chiara! Grande Morro!!! Fantastico!!!

[@Shekssi]

Parla per te io ho capito poco, non è colpa di moro ma mia

[@rosyp3872]

sarebbe interessante approfondire il tema sulla sicurezza della login screen che hai accennato. Spero possa essere trattata nei prossimi video 🙏 complimenti per la qualità espositiva e dei contenuti

[@Luca-rq7uo]

Ne aveva parlato già in altri contesti, comunque senza password al bootloader puoi avviare il sistema direttamente con privilegi amministrativi impartendo dei parametri di avvio. Se il bootloader è protetto da password la procedura diventa leggermente più complessa, ma comunque molto semplice per chiunque abbia un minimo di dimestichezza con queste cose. E' sufficiente accedere in chroot da una distro live e cambiare la password dell'utente. Tutto ciò non è possibile col disco crittografato.

[@MassimilianoDalCero]

Certo, se dal boot o con disco in mano hai accesso al filesystem: hai vinto a prescindere. Credo che il contesto della richiesta sia differente: se ho un sistema avviato con la schermata di login, e non si può accedere al filesystem (perché cifrato, o perché non posso spengere/riavviare il sistema), che debolezze intrinseche mi trovi davanti? credo inoltre che il contesto della richiesta sia quello locale, o schermata della VM o PC fisico, non acceso da rete.

[@Luca-rq7uo]

Podarsi che ci siano dei modi anche per eludere completamente un display manager già avviato, ma di questi non ne sono a conoscenza. Se però sono fisicamente davanti ad un pc e arrivo fino al display manager forse è difficile non poter riavviare o accedere al filesystem non cifrato.

[@MassimilianoDalCero]

se davanti abbiamo un sistema server, non è detto che si possa riavviare o spegnere senza che si scateni il pandemonio. Oppure si ha poco tempo a disposizione perché il PC è stato lasciato incustodito per andare in bagno. Diciamo che ci sono vari scenari dove l'attaccante può avere la necessità di voler/dover rimanere stealth 😊

[@spkarkanoid87]

Il TPM serve per il riavvio sicuro ma non presidiato dei server. La cifratura dei dischi é richiesta da standard ISO27001. Su Linux c'è Clevis by RedHat che amplia un po l'offerta per questo tipo di servizio, potresti farne un video, é divertente.

[@cerignolano79]

Più che riavvio, controlla l'avvio verificando che il matrimonio di chiavi simmetriche e asimmetriche sia intatto (come giustamente illustrato nel video). La cifratura è richiesta da standard molto più "duri" della 27001,come ad esempio la ISAE o la PCI DSS già dalle versione 3.x è che con la 4 vedrà tale concetto decisamente più rafforzato.

[@DarkCronos87]

Ciao Morro, mi è capitata spesso di dover recuperare dati da un hdd dopo che magari ho avuto dei problemi al pc o al s.o., e il poter rimuovere il disco e montarlo come disco esterno su un altro pc mi ha salvato moooolte volte. Ritrovarmi tutto bloccato da un unico chip di cui non posso avere un backup non mi convince (almeno per il mio uso del pc). Per questo motivo preferisco lasciare "sbloccato" il disco almeno sul pc fisso, mentre sul portatile capisco la criticità anche se non sono del tutto convinto della soluzione... L'idea della copia sul usb delle key mi piace, ma poi mi sembra sia complesso il suo utilizzo per fare eventuale recovery

[@giuliodionisi7784]

E immagina se questa tecnologia divenisse di uso comune. Viene il cliente che ha rotto il pc e vuole recuperare i dati, ma non ricorda la password memorizzata nel TPM. Ed ecco che diveniamo vittime della nostra stessa paranoia :V Queste sono cose da usare su sistemi aziendali, non a uso privato. Eventualmente i sistemi di certificazioni e di chiavi SSH possono avere un senso per l'utente privato che , salvo rare eccezioni, non necessita di cifrare i dati :V

[@attinia1968]

Coniderazione validissima Mr. Arolke. Senza nulla togliere all'esposizone ed obiettività circa il TPM espressi da Morro nel video, la questione 'assolutamente cruciale, pragmatica' è quella da Lei esposta. Sono un vecchio 'elettronico/informatico' che ho visto, nel corso della mia vita, nascere moltissime di queste tecnologie di cifratura, a vari livelli, hardware e software. Non posso che confermare e solidifcare quanto si evince dalle sue perplessità. In pratica queste 'cifrature' non hanno mai protetto nessuno nei termini per cui sono state pensate (o meglio sarebbe dire nei termini con le quali ci son state propinate) ma solamente creato 'grossi' problemi e perdite di dati ingenti, vanificando qualsiasi tentativo di 'data recovery' nel caso di 'hardware failures' a vari livelli. Un caro saluto.

[@noendline777]

Concordo pienamente. Sono riuscito a salvare tutto il lavoro svolto in preparazione ad un esame importantissimo pochi minuti dopo aver visto sminchiarsi il PC. Mi è bastata una Live su USB di Ubuntu per riprendermi i documenti importanti e reinstallare il sistema operativo da zero. Una cifratura del disco completa sarebbe da fare comunque, ma è altrettanto vero che sarebbe necessaria una procedura di backup rapida, magari tramite una chiavetta custodita in una cassaforte

[@TuxDave03]

@@noendline777 Penso che sarebbe utile ci fosse la possibilità (magari c'è e son gnurant mi) di combinare il TPM con una normale password, possibilmente bella tosta, in modo che ci sia una recovery semplice per chi conosce la password. Un po' il discorso dell'impronta nel telefono, se va bene, se ti cade un dito usi il codice. È vero che una password è un metodo di autenticazione debole ma comunque meglio di niente e meglio di perdere tutti i dati!

[@noendline777]

@@TuxDave03 la password è uno strumento molto debole, in realtà.

[@th3r3x]

Thanks!

[@marcoranierikimco8810]

Sai spiegare in un modo superlativo !!!

[@ZAR610]

Ciao e grazie! Sarei curioso di capire allora il miglior modo di usare (sempre che ci sia senso farlo), protezione tipo "yubikey 5 nfc" per rafforzare ma velocizzare certi passaggi di protezione.

[@matixvision]

Ciao MorroLinux, una domanda, se si dovesse rompere ic tpm? Complimenti per i tuoi video, ben spiegati e linguaggio comprensibile 👍

[@giovannisardisco4541]

In effetti, è come se si rompesse l'hard disk. Sono curioso anch'io della risposta.

[@langhistruk]

Puoi usare le chiavi di recupero... Se le hai salvate 😁

[@lorebodo]

beh, per quanto riguarda il disco personalmente ho intenzione di usare una password complessa, ma non impossibile da inserire da un utente, in caso di problemi o lockdown del tmp, per le chiavi private ssh (e non) invece come dice nel video e' importante fare una copia esterna in un luogo sicuro oppure anche in quel caso usare password che in un contesto normale sarebbero un incredibile rottura da inserire manualmente, ma che e' possibile fare.

[@matixvision]

Purtroppo è successo su un nodo ESXI, con tanto dì schermata viola.

[@damianopeinetti4479]

Ciao Morro, complimenti per i tuoi video. Sarebbe possibile, in qualche modo, sostituire la psw di cifratura del disco con una verifica da parte di un dispositivo biometrico tipo lettore di impronte?

[@IPear]

Sì, l'hash del dispositivo biometrico sarà la password del disco

[@samuele7630]

@@IPear Greve e l'hash posso saperlo?

[@IPear]

@@samuele7630 perdonami non ho capito

[@samuele7630]

@@IPear cioè, se mi si rompe il sensore, e io non so l'hash ho perso tutto no? Quindi chiedevo se l'hash si può sapere

[@IPear]

@@samuele7630 onestamente non ti so rispondere, mai provato, ma secondo me sì

[@stufo76]

Ho una chiave hw usb + pw del bios + pw di cifratura del disco ad ogni avvio. Il pc è sempre spento se non ci sono io davanti al monitor. E naturalmente le password sono molto complesse. Dite che sono paranoico?

[@carloorsucci3173]

Ottimo video, molto interessante. Credo però che debba essere integrata qualche osservazione sulla manutenibilità dei sistemi. L'hardware è destinato a rompersi o diventare obsoleto; se nel secondo caso posso pianificare una sostituzione, nel primo in base allo scenario si rischia la perdita di tutti i dati. Santo Backup aiutaci tu....... criptato però con una chiave salvata da un'altra parte.....

[@morrolinux]

See il TPM chiude le porte o si rompe siamo di nuovo all'uso della password per lo sblocco del disco, ne dovrei aver fatto menzione da qualche parte nel video

[@guilty_p01nt3r4]

Se si rompe il TMP (tipo mi si brucia la scheda madre) poi il disco lo posso sbloccare da un altro TPM conoscendo la password ? Oppure addio dati per sempre ?

[@geoforconsulting]

Questa domanda è importante, mi associo nell'attesa di una risposta.

[@morrolinux]

Già risposto negli altri commenti, il TPM è sostitutivo della password di cifratura del disco, non perdi niente, devi solo inserire la password a manella

[@guilty_p01nt3r4]

@@morrolinux Grazie, non avevo trovato risposta

[@yaledioma00]

Spieghi in che modo il tpm fa sì che un disco cifrato non richieda la propria password in fase di avvio?

[@matteolinux9467]

Ciao Moreno come al solito i complimenti si sprecano 😊 Come richiesta per un prossimo video, vorrei proporre un approfondimento su zfs e sul sistema di snapshot e in cosa si differenzia dagli snapshot fatti in btrfs. Grazie 🙏🏻

[@leonida4829]

Ma su MacOS la password per sbloccare il Mac e quella per decriptare il disco coincidono? Mi pareva che ci fosse un sistema diverso

[@akuma417]

Ciao e grazie per l'interessante video. Personalmente sono contrario alla cifratura a tutto e a tutti, o meglio alle persone comuni, perché nella maggior parte dei casi crea solo un problema che altrimenti non c'era. Cifrare il disco "della zia" o "del vicino" creerà un problema per il giorno, che presto o tardi verrà, in cui romperà il computer e ti chiederà di recuperargli le foto o quant'altro. Amici parenti e colleghi mi hanno chiesto di recuperare i dati dai pc per i motivi più svariati e stai sicuro che neanche si ricordano la password, a meno che non la devono mettere ogni santa volta (ma anche lì, a seconda della persona, è probabile che ce l'abbiano scritta su un foglietto messo insieme al pc). Per questo io dico sempre di non salvare niente di vitale sul pc, come i numeri di conto e le password della banca, che per fortuna fanno gran parte del lavoro loro con OTP e similari. Come sempre il problema sta tra la tastiera e la sedia ;)

[@finmat95]

Esattamente, cifri il disco, la scheda madre e il TPM vanno a farsi benedire (per qualsiasi motivo o ragione), buona fortuna a recuperare i dati.

[@MatteoG85]

@@finmat95 condivido il pensiero, ma una sana politica di backup serve proprio a evitare questo

[@geoforconsulting]

TOP!

[@giovanni.roberto]

Io da un po' di tempo ho iniziato a fare il backup cifrato anche dell'immagine del disco C, oltre che dei dati. Sul portale il disco C è libero, mentre ssd secondario è cifrato. Secondo me è l'opzione migliore

[@soulblack3761]

Non ho capito perché non si è fornito una penna o qualcosa col tpm esterno ,invece di interno .

[@adrianogiacomini6541]

Utente Windows con TPM e bitlocker attivo. Scopro ora che una macchina in sospensione sia attaccabile. Grazie. Ma che senso ha allora introdurre di default anche il fast startup? Mi sfugge qualcosa?

[@fr-network-f7o]

Mi congratulo per la qualità del video.. Finalmente un canale 'pro'.. Continuate così!

[@scx1988]

Servirà per sicurezza etc... ma secondo me grazie a queste nuove ''regole'' (specialmente tra qualche anno quando finirà il supporto pure per windows 10) non sarà possibile per chi ha un computer ''vecchio'' installare il nuovo sistema operativo Microsoft,di conseguenza milioni di persone ogni 5 anni circa (o ad ogni nuovo sistema operativo Microsoft) saranno ''obbligate'' a comprarsi un nuovo pc ... (non credo che tutti conoscano la storia del Bypass o che esistono altri sistemi operativi es.Linux) la famosa ''obsolescenza programmata'' che affligge sopratutto il mondo smartphone ....ad esempio da questo 2023 in poi Chrome non rilascerà più aggiornamenti x Windows 7 e 8 ,in questo modo i vecchi sistemi operativi Microsoft vengono letteralmente ''tagliati fuori'' dalla navigazione internet (è rimasto Firefox ma secondo me potrebbe presto copiare ciò che hanno fatto con Chrome) ...io vorrei soltanto un mondo in cui ognuno è libero di usare il sistema operativo che gli pare x navigare sul web... un mondo in cui le cose non venissero costruite per durare 5 anni massimo (già il mio HP del 2018 ''non avrebbe i requisiti x windows 11'' .. pc pagato quasi 1000 euro all'epoca ... ovviamente con Bypass si installa tranquillamente senza problemi chissà come mai)

[@tecnicamoto75]

Come si chiama il blocco schermo che hai su????

[@edoardobarolo4680]

Su winzozz si può usare a quanto ho capito, un TPM come una smart card virtuale. Mi tornerebbe utile per memorizarci i certificati della Carta Di Identità elettronica. Su linux si può fare ?

[@Vraixen]

Se chiunque entra in possesso del tuo pc può comunque far avviare il sistema con il tpm in ogni caso visto che non cambia i parametri nel avvio.. e da li può tranquillamente fare diversi attacchi per bypassare la lockscreen del sistema operativo oppure può dumpare la ram

[@MatteoMenozzi]

Io non lo sapevo proverò su windows e su mac. Volevo poi sapere se questo metodo di cifratura funziona anche su wsl?

[@alessandrocuringa1022]

Una domanda solo una! Il TPM Non si rompe mai? In realtà sono 25anni che bazzico con i PC e i miei dati non sono mai stati presi da nessuno ... Forse può essere utile in ambito aziendale... Ma per un privato vorrei solo e semplicemente una chiave esterna tipo lo speed che se non è sicuro quello allora possiamo anche dar fuoco a tutto lo stato ... 🤣🤦🏻

[@xakmarx8597]

Complimenti, uno dei tuoi video piu' interessanti che fa capire veramente a cosa serve il TPM. Grande Moreno!

[@linustorvalds2542]

ma se vendo la mia mobo dopo i miei dati rimangono dentro, come si fa un reset del tmp?

[@TheSimoriccITA]

Perché a 19:35 hai detto che con il TPM la sicurezza è inferiore? ( dato che una password inserita dall'utente è meno sicura di una password cifrata dal TPM)

[@morrolinux]

Parlavo dell'uso del TPM per sbloccare il disco vs inserire la password manualmente. Hai visto la parte sulla sicurezza?

[@TheSimoriccITA]

​@@morrolinux La password inserita manualmente è meno sicura della password protetta dal TMP, però potrebbero essere già state scoperte delle vulnerabilità del chip TMP che un malintenzionato potrebbe usare. Per questo dici che è più sicura una password manuale?

[@marcocirillo20]

insomma ci resta solo linux .... a proposito di cifratura del disco che vorrei fare da un po' di tempo, ma la funzione di indicizzazione viene rallentata o compromessa sia in win10 che linux? come sempre GRAZIE

[@alessandrobracciolini5724]

Video molto interessante. Però a me sarebbe interessato capire se e come un dual boot windows-linux possa esistere, mi sembra infatti di aver capito che seppur squisitamente un discorso hardware per la gestione del boot e della cifratura disco è tutto legato al SO che stai usando.

[@lp4659]

Ma la cifratura disco non rallenta il tutto ? Io mi accontento di una PW da 50 caratteri circa, ottenuta da .... 😁

[@killua_148]

Ciao Morro, sarebbe un ottima idea parlare anche di Secure Boot, dato che è un altro prerequisito di Windows 11 e su Linux da come so funziona solo su Ubuntu e Fedora, a meno di magheggi complicati

[@praecipua713]

Funziona anche con Opensuse. Ma è una rottura di gabbasisi. Cosa ha da nascondere la gente comune?

[@killua_148]

@@praecipua713 il secure boot è uno strumento per aumentare la sicurezza, non la privacy. E comunque la privacy è un diritto

[@lucacavallini561]

Su Linux Mint, devo disattivarlo da BIOS, altrimenti non mi funziona la scheda WiFi, e il mouse fa casino👍

[@emanueletp]

@@praecipua713 Con nvidia poi.. lasciamo perdere proprio

[@praecipua713]

@@emanueletp Con X11 e i driver proprietari nessun problema. Con Wayland hai ragione.

[@alerighi]

Bisogna stare attenti ad una cosa, il discorso del TPM che ha la protezione contro il tampering delle impostazioni funziona a condizione che tutta la catena di boot è sicura, se prima che venga caricato il kernel può, senza alterare le impostazioni del firmware, cambiare quel che viene avviato (ad es. da grub avvia un dispositivo esterno, o cambia le opzioni del kernel per far avviare un init diverso) tutta la sicurezza va a farsi benedire. Idealmente vuoi anche il secure boot, che su Linux è abbastanza complesso da configurare a dire il vero (se si vuole configurare bene quindi creare una CA per firmare il kernel, aggiungere la chiave al firmware, ecc). Fra l'altro l'avere il secure boot dovrebbe risolvere il problema che cambiando opzioni del BIOS o aggiornando il firmware il TPM chieda le credenziali (presumo faccia una verifica di firma tale per cui se viene avviato qualcosa firmato dallo stesso certificato lo considera sicuro? Es. se avvio cose firmate da Microsoft automaticamente il TPM mi lascia leggere tutto quel che è stato creato da Microsoft?), perché è quel che avviene con Windows. Se su Windows provi ad avviarlo non dal BIOS ma da un altro bootloader, perdendo la verifica secure boot, compare la schermata di bitlocker che chiede di sbloccare il disco, ma se poi lo avvii di nuovo con il secure boot, non ti chiede più la chiave. (fra l'altro MS ha pure risolto il problema in modo idiota per la sicurezza, la chiave di Bitlocker viene caricata dentro l'account Microsoft così che se ad uno gli si rompe la scheda madre può recuperare i dati, benissimo, ma se ti fregano l'account Microsoft la cifratura del disco serve a poco...)

[@kentahirono]

Beh devono pero fregarti sia account ms che disco fisico

[@erkram.]

Questo non è del tutto vero, l'origine di questa catena di boot (o come qualche scienziato chiamerebbe root of trust) può essere un firmware di riferimento immutabile. Le operazioni di misurazioni sulla catena sono mantenute lungo il processo di boot sicuro e volendo anche dopo (sui PCR). Sinceramente però non se sia questo il caso di una macchina consumer con sopra windows, insomma se sti firmware immutabili sono effettivamente montati da qualche parte o meno. edit: a quanto pare tipicamente il root of trust è affidato all'ACM, un modulo software contenuto nel chipset direttamente dal produttore e a quanto pare immutabile

[@lexandro82]

Se ho cifrato il disco e poi carico un file su un cloud, quel file sarà cifrato sul cloud? accedendo al cloud da un altro computer si potrà leggere?

[@MrGilgameshJR]

Si potrà leggere, il disco viene decriptato in real time per essere letto (e avviare l’os), la cifratura sarà trasparente per l’utente

[@BricketCorp.]

Domanda: ma di fabbrica I pc escono con l'HD criptato? O devo essere io che attivo la cifratura?

[@uno-qualsiasi]

Ciao moreno grazie per questi video sempre illuminanti ma, potresti illuminarci su come si configura il tpm 2.0 anche su distro come debian, ubuntu e relative derivate? O quanto meno segnalarci una guida apposita per noi che siamo nuovi del mondo linux? grazie

[@bl1xer_SU]

Una domanda, sei io clono con macrium reflect il contenuto del mio hardisk cifrato su un ssd e poi lo sostituisco all hardisk originale va tutto a quel paese per la cifratura?

[@morrolinux]

No, perché mai.

[@bl1xer_SU]

@@morrolinux ok, e se oltre all hardisk cambio scheda madre e processore perché devo rifare il pc?

[@morrolinux]

@@bl1xer_SU no, no assolutamente. Metti la password e sblocchi il disco ovunque.

[@corrado-dex]

Ma tenere il disco cifrato quanto pesa in termini di cpu e tempi di accesso?

[@killaforma]

Complimenti per il video e come l'hai spiegato, ma secondo me il vero problema con l'informatica attuale è il management engine interface, che è un micro computer all'interno di un computer, è indipendente con le proprie risorse a prescindere se il computer sia acceso o spento, con questa sistema si possono controllare/tracciare tutte le operazioni a basso livello del sistema. Ultimamente migliorato (in peggio) con il CSME che integra un tpm direttamente nel management engine. Stesso discorso vale per il telefono cellulare che ha un sistema simile (ecco perché i cellulari da un po' di tempo vengono con batterie non rimovibili).

[@francescoricci9386]

Questa storia delle batterie non removibili sugli smartphone è presto giustificata dal fatto che, in caso di furto, il telefono è sempre geolocalizzabile tramite gps. Per il resto bisogna fidarsi in qualche modo. Le chiavi di cifratura se non le vuoi mettere sul TPM devi metterle in qualche altro supporto di memorizzazione. Se vogliamo parlare poi di backdoor, sappi che grossi enti di ricerca investigativa non hanno bisogno della tua chiave privata per decrittare ciò che tu hai nell'hard disk

[@killaforma]

Ma questo cosa c'entra con il management engine? Sugli smartphone si chiama in modo diverso ma fa le stesse funzioni, è un microcomputer che funziona per conto proprio ma può essere telegestito come sui computer, ergo possono controllare il dispositivo da remoto e tracciare tutti i dati che esso invia/riceve.

[@francescoricci9386]

@@killaforma si parla di tempo meteorologico e tu rispondi che ore sono. Va bene così

[@killaforma]

@@francescoricci9386 Esatto, si parla di sistemi di controllo/gestione forzati e non di batterie non rimovibili... Che ore sono?

[@killaforma]

Per la cronaca, il 95%dei computer portatili viene con la batteria rimovibile ma non di facile accesso all'utente finale.

[@MrSauron83]

Ciao perchè per linux é una burla ? Intendi che é più facjle ?

[@LoZiooo]

Piccola precisazione: occhio che il discorso sulle chiavi pubbliche e private non è sempre vero, ma dipende dallo schema di crittografia utilizzato dal protocollo... Per esempio, RSA è utilizzabile nel modo descritto, ma è un caso particolare; mentre per altri schemi crittografici (esempio: Paillier, El Gamal...) la cosa non vale. Comunque mi sono sempre chiesto nello specifico le funzionalità di questo modulo hardware addizionale, bel video!

[@norberthunt7316]

Nel caso il PC si guasti o nel cambio PC con uno più performante? Qualche dubbio sorge sulla possibilità trasferire hdd o chiavette cifrate su un nuovo computer dotato di un nuovo chip o bisogna avere tanta fortuna e sperare in un bravo tecnico ammesso che sia possibile riparare il vecchio pc.

[@pasqualetuiuespositolapomn3136]

A me su pc ce bitloker e non posso fare niente x toglierlo e di microsoft blocco hard disk

[@proges]

io ogni volta che ho attivato la cifratura del mio hardisk, sono finito in un modo o in un altro a perdere i dati 😂 menomale che avevo i backup, ... sinceramente la trovo troppo una rottura la cifratura, non ho mai nel mio hardisk dati a cui ho veramente bisogno di tale sicurezza... in 40 anni ancora non mi è mai capitato che qualcuno si freghi il mio hardisk, quindi deduco che che non ne avrò bisogno per tutto il resto della mia vita, non sono cosi importante al punto che qualcuno abbia da fregarsi il mio hardisk , anche per sola curiosità ... è probabilmente più facile che buchino qualche sito e si freghino ii dati di qualche mio account..

[@EnricoPorruRewiel]

Dipende dal lavoro che fai. Io il mio PC che lo uso per montare video con i droni o giocare difficilmente lo cifro. Ma quello di lavoro dove ho codici sensibili ovviamente lo cifro.

[@FindusXP]

Se non fosse stato per la cifratura del disco, il disco del PC del lavoro che mi hanno rubato sarebbe stato alla mercé del ladro.

[@Rednunzio]

Attivando la crittografia in Linux non verrà usato il TPM anche se è installato giusto ? Per quanto riguarda l’accelerazione HW la fase di decrittazione è sempre a carico della CPU ? Su Mac se non erro veniva fatta dal chip T2 e ora nel Secure Enclave dei chip arm.

[@morrolinux]

Lo sblocco da TPM va abilitato esplicitamente (alcune distro lo propongono con un click) e la decifratura in tempo reale è accelerata in hardware naturalmente

[@davidecompagni]

Ciao Morro, bel video! Come hai fatto le animazioni per questo video? c'è un programma linux adibito all'animazione?

[@morrolinux]

In questo video ho usato Davinci Resolve per tutte le animazioni. E si, c'è anche per Linux naturalmente

[@luciano4787]

Ciao Morro,io uso il tpm senza cifratura.Secondo te la cifratura del disco,sia in ambiente linux che windows,potrebbe rallentare il sistema su un pc non particolarmente recente?Nel senso di aggiungere,un processo consistente in termini di risorse,a quelli già presenti.

[@AhabHyde]

Non sono sicuro al 100%, ma mi pare di ricordare che la cifratura del disco rallenta solo l'avvio del computer. Una volta avviato, le prestazioni non calano

[@luciano4787]

@@AhabHyde in realtà io chiedevo più nel caso di Linux,visto la sua esperienza.Per quanto riguarda Windows,io ho provato su un surface pro di cinque anni fa.Dopo aver eseguito la FDE e usato il TPM,ho notato un rallentamento generale del sistema piuttosto evidente,per questo ho dovuto rimuovere la cifratura disco.

[@johannesdesilentio43]

Ma su w10 home si può avere la full disk encryption?

[@emanuelev.4154]

Devi utilizzare bitlocker, e se sei paranoico potresti aggiungere l'opzione PIN ovvero che oltre ad avere un disco cifrato , ad ogni avvio ti verrebbe richiesta il PIN per accedere( e non parlo della password di Windows ).

[@johannesdesilentio43]

@@emanuelev.4154 Si ma su w10 home non è disponibile, così tagliano fuori il 90% dei portatili... cosa si può fare in questo caso?

[@emanuelev.4154]

Bisogna mettere la versione pro.

[@fatuo1111]

Non mi é chiara una cosa, se la pw di criptazione e su questo chip, se mi rubano il pc non serve che la inseriscano e gli rimane solo la pw di login x entrare, il che non mi sembra un gran vantaggio. Poi mi chiedevo se questo chip ha a che fare con l'autenticitá dei programmi "comprati" e se qemu e vm possono emularne la presenza quando vuoi far girare ad esempio w11.

[@aldobruno712]

perchè la schermata di blocco su linux è una burla? al minuto 19:15

[@darksabin85]

sarò prevenuto, anacronistico, ignorante (ci stà), ma il tpm continua a ricordarmi in parte il progetto palladium.. per quanto interessante, al momento non ho il tempo, ne la voglia per approfondire il suo uso e sfatare il mito. per ora me ne sto bello tranquillo col mio 2600k e le mie password manuali a 64 caratteri. apprezzo però il video, che in parte mi ha chiarito un paio di dubbi. bravo Morro

[@benjos.2083]

i certificati delle stampanti possono essere fatte dal privato, oppure debbono essere rilasciate dal produttore? grazie

[@giuseppem.34]

miglior video di quest'anno. bravo bravo bravo! Grazie perché in Italia sei il migliore a livello divulgazione.

[@lorisnobili]

Ciao, video molto utile. Io "riparo" pc per mestiere. Come qualcuno ha già commentato la crittografia per l'utente comune crea solo un problema in più. Quanti ne avrei visto piangere negli anni, se avessero abilitato la crittografia. E la prima cosa che vogliono sentirsi dire è: tranquillə, i tuoi dati sono al sicuro, recuperabili. Per quanto mi riguarda, procedure manuali e veracrypt su linux. Solo per le cartelle che vanno davvero criptate.

[@samuele7630]

O per chi ha bisogno di proteggere i propri dati per davvero

[@utente88]

Per legge ci sono documenti che vanno custoditi. Oggettivamente è così ma soggettivamente le cattive abitudini degli italiani portano a fare quello che dici. Lasciare questi documenti in chiaro su un qualsiasi archivio non é diverso dal lasciare la controparte cartacea in bella vista alla portata di chiunque. Non a caso la controparte cartacea va custodita pena la denuncia in caso di smarrimento o furto! Un professionista che lascia documenti sensibili in giro non é diverso da un maiale che grufola nel truogolo...

[@bit.456]

Il chip si può guastare? Se si i dati sono persi?

[@peppesantarsiero4532]

Io vorrei avere l'abilitazione del tpm di default nell'istallazione di una distro Linux, con tanto che non si rompe a ogni aggiornamento!

[@langhistruk]

Un sogno, forse una favola cit.

[@peppesantarsiero4532]

@@langhistruk ma magari una anima pia facesse una cosa del genere

[@jacopotassinari]

Ottimo video. Da tecnico informatico ricordo in uno studio professionale e uno specifico PC, utenti diversi in momenti diversi, e poi un giorno l'hd funzionante ma non più accessibile e ovviamente, tutti i dati sono andati! Che tanto a sentirli, la password "la ricordo benissimo"....! =( La vedo una soluzione utilissima per alcune cose di cui l'utente medio possa felicemente essere tenuto all'oscuro ma un dramma che insegnerà a non lasciare nulla di sensibile o essenziale che possa essere virtualmente perso, tipo un hd non più accessibile.

[@p-gentili]

Bravo Morro, tematica poco conosciuta ma molto interessante.

[@giannitempesti117]

Come sempre ottimo video. Stupendo. Continua così!!!!!

[@lucaiovene6871]

Ho cercato un pochino in rete e non ho capito come fare effettivamente a mettere questa password del tpm. L'unica password che riesco ad impostare è una password che penso sia riferita al solo bios. è questa quella che devo impostare?

[@luciano4787]

Credo che Morro si riferisse,come seconda password,a quella che il sistema chiede dopo la cifratura del disco.Quindi prima bisogna eseguire la FDE(full disk encryption)rispetto alla quale il tpm è solo il modulo che conserva la chiave di sblocco.Dopo questo procedimento,si può scegliere una password da inserire in fase di boot e prima della password di sistema.

[@git-push]

Ma per la cifratura disco, non é l'implementazione del file system che si occupa della cifratura/decifratura dei dati che vengono letti e scritti? Non credo che il chip del tpm abbia la potenza di calcolo adatta a cifrare o decrifrare i blocchi che vengono da o verso il disco.. é un integratino minuscolo, a volte anche posto su schede separate dalla mobo (nel mio caso é cosí)

[@morrolinux]

Per la cifratura disco il TPM fa solo lo sblocco della chiave di cifratura. La cifratura/decifratura avviene in tempo reale in maniera trasparente ad opera della CPU che ha estensioni apposta e lo fa a costo quasi zero.

[@alextube001]

@morrolinux L'encripting del disco rallenta l' IO , e non di poco. Se si ha un PC con disco meccanico e non troppo performante, sono Dolores.

[@simonecelia5950]

ottimo video. Tecnologia interessante, ovviamente introduce un sacco di casini per l'utonto medio e nello stesso tempo aiuta l'obsolescenza programmata dell'hardware (almeno per chi vuole avere sempre l'ultimo winzozz). Per un utente pro non cambia niente e già sa come tenere al sicuro i propri dati

[@giuseppem.34]

Puoi installare Windows 11 pro a che su un PC del 2007 senza TPM abilitando la cifratura bitlocker. Ed è pure semplice per un utente interessato all'argomento. Per dire è più semplice cifrare un PC Windows professional non cifrato che una distro Linux non cifrata.

[@primosoma]

Io ho cifrato tutto il disco durante l’installazione ma scrivo la password manualmente perché non sapevo nulla del TPM. Sinceramente non credo lo userò, vorrei invece capire se posso usare la yubikey come password. Anche perché ho capito che posso usarla coi servizi online, quindi con una chiave sola faccio tutto.

[@trattogatto]

A memoria d'uomo (da oltre 20 anni informatico), sono state più le volte in cui ho avuto bisogno di montare dischi come slave per recuperare i dati, o verificare se il disco è danneggiato (innumerevoli), piuttosto che i casi in cui mi è stato rubato un pc (beh, mai... sarò fortunato o solamente attento?). Secondo me questo è uno di quei casi in cui lo svantaggio supera il vantaggio. Mi sentirei sicuro di cifrare il disco con questa soluzione hardware solo se ho un notebook con sensibile esposizione a furti, e la certezza di avere backup giornalieri. Se non ho questa situazione, credo sia insensato e pericoloso farlo, se l'hardware si brucia per qualche motivo (ok, le schede madri non si bruciano facilmente, ma è pur sempre una possibilità), ho praticamente perso i dati di quel disco... WTF!?

[@NicolaErario]

Grazie Moreno, ottimo video. 20 minuti ben spesi per me 🤓

[@MrMatematico65]

eBuzz Central ha fatto un video intitolato "Microsoft must be stopped" dove affronta proprio questo argomento del tpm comparandolo con le soluzioni precedenti e dando una visione o uno scopo molto più allarmante per il futuro e per l'utilizzo di Linux su sistemi che convivono con Windows. Insomma sembrerebbe che quando il vecchio Bill ti tende la mano per aiutarti lo faccia' in realtà per lasciarti cadere...

[@geoforconsulting]

Ma va là!?

[@marcuslxxii]

La cifratura del disco mi ha sempre spaventato perché in caso di guasto hardware sarà molto più difficile recuperare i dati. C'è da dire che non uso portatili, e quindi il rischio di furto è molto basso.

[@geoforconsulting]

Condivido.

[@ermenegildoluponi3184]

Gatessss... ci fotte e ci rifotte...

[@CrazyMusician]

già successo a me... un disastro. disattivato. poi c'è da dire che io i dischi li sposto come l'acqua...

[@andreazomberman963]

Bel video ben spiegato. Per risolvere il problema della doppia passwd, come vedi impostare la full disk encryption, sbloccandolo con grub, poi un keyfile per far partire il sistema e il login automatico senza dover inserire la passwd utente? Sbloccando il disco con password all'inizio dovrebbe garantire la sicurezza di accesso dell'utente o mi sto perdendo qualcosa?

[@morrolinux]

Come suggerito anche da un altro utente, tecnicamente puoi abilitare la cifratura completa del disco senza sbocco da TPM e abilitare il login automatico dell'utente, così avresti comunque una sola password, ma il disco comunque cifrato.

[@andreazomberman963]

@@morrolinux è esattamente quello che ho fatto. Grazie👍

[@moonbastick5514]

Con un attacco sulle ram? Si potrebbe fregare il tpm, non ho capito se il tpm può fungere da mini calcolatore oltre che da stoccaggio chiavi, come dire se la CPU deve pur sempre fare il calcolo di decriptaggio in un qualche modo la chiave esce magari non arriva all hardisck ma da ram e CPU ci passa....

[@moonbastick5514]

Ho nozioni molto ma molto basilari dei tuoi video forse ci capisco il 10% ma comunque li trovo molto interessanti e ed intuito ho pensato subito a una vulnerabilità sulla transizione dei dati tra gli hardware se il tpm fa solo da mini hhd, un altro dubbio che mi viene ma se il tpm per qualche motivo devesse bruciarsi? Hai perso tutti i dati del tuo PC se non fai backup periodici e gli metti in hhd esterni?

[@morrolinux]

Se il TPM si brucia sei punto e a capo a sbloccare il disco con la password di cifratura. Per quanto riguarda attacchi alla RAM: si, un attacco coldboot sarebbe in grado di recuperare la password di cifratura (TPM o meno) - ho fatto un video a riguardo

[@nazariobocola6646]

that was exactly what I needed , thank you so much

[@askadia]

Sulla cifratura del dischi, avrei da ridire. Ok per PC di lavoro con dati sensibili, ma per l'utente medio, quante sono le probabilità e i rischi che qualcuno rubi un disco per averne il contenuto? Nei miei dischi ci sono solo giochi, serie tv, film, filmati casalinghi, e normali foto... L'unico rischio reale è che il ladro s'annoia.

[@FilippoPilo]

se mi si rompe il pc e devo recuperare i dati dal mio hd?

[@morrolinux]

Sblocchi con password

[@FilippoPilo]

@@morrolinux se non la ricordo?

[@MarcoScarselletti]

Io inserisco la password di cifratura ad ogni avvio e mi sta bene così, qualche secondo perso all'avvio non mi comporta nessun disagio.

[@xiaomi_grus_ita3587]

Riepilogo x uso aziendale: 1. update windows del firmware, potrebbe far cambiare il pcr -1.a se OneDrive non ha Syncronizzato desktop/documenti , addio files - 1.b se un utente crea una cartella in C:\, addio files

[@lorenzotrevisan7106]

Great job ❤️ Big thanks!

[@fopenp957]

Ma se io faccio avviare una live sul tuo computer (con tpm) posso vedere il disco come un disco esterno (decifrato), o sbaglio?

[@morrolinux]

No, perché fare il boot con parametri diversi o da una unità diversa farebbe cambiare qualche registro PCR, bloccando il TPM e quindi richiedendo che tu conosca la password di cifratura del disco e la inserisca manualmente.

[@fopenp957]

@@morrolinux ok, grazie! 🙋

[@sasipiccolo6337]

Io ho un Mac con FileVault, che è sostanzialmente la Full Disk Encryption di Apple, attivato e all'avvio non mi richiede lo sblocco del disco. Quindi, desumo che lo sblocco del disco con T2 (che è un chip di sicurezza di Apple, che svolge anche altre funzioni) sia abilitata di default

[@morrolinux]

Esatto

[@mimmolagonigro]

ottima spiegazione. per portatili ma anche per fissi si può usare lo sblocco con apposita USB ad impronte digitali. cosa ne pensi?

[@francescoricci9386]

Le impronte digitali sono un sistema labile, computer e smartphone spesso fanno cilecca per cui non possono essere considerati come un sistema "granitico" ma devono sempre appoggiarsi ad un sistema di backup di accesso come PIN o la solita e vecchia password principale

[@vickvolpe]

Ho il tpm ma un i5 7200u e windows 11 non è supportato!

[@lexandro82]

Su Mac c’è una cosa simile ?

[@Jack0277]

Puoi fare un video sulla privacy delle VPN? Ho già visto il video in cui ne parli però ci sono davvero tante cose da poter approfondire!

[@gabriele2659]

Nn c è prova che nn logghino...

[@finmat95]

Morale della favola: su pc portatile non tenere informazioni personali, tutto su dischi esterni che tieni in casa al sicuro.

[@finmat95]

@@rodisa1990 Cosa che capita a tutti, tutti i giorni. Microsoft ci ama.

[@giacobberothschild3083]

@@rodisa1990 luks nuke has joined the chat

[@0xGiacomo]

🎉

[@TimelessX974]

ho password da 196 caratteri che batto sempre per avviare le macchine , la password utente è da 89 caratteri e non uso TPM perchè il cambio hardware ( MB / SSD ) è al ordine delle settimane. le password ce le ho archiviate su una penna cedrata con impronta digitale e pin da 8 numeri. Per accedere alla archivio delle password per modificarle , inseritele o leggerle devo battere una password da 82 caratteri

[@nuccioa]

Secure Enclave mi sembra che vanti funzionalità simili, ti risulta?

[@kastprod3287]

Ottimo video!

[@paololaura9266]

Domanda da non esperto del settore : ma il servizio offerto dalla sponsorizzata NordVPN non dovrebbe proteggere anche dai rischi elencati in questo video? Grazie, cordiali saluti

[@morrolinux]

No, non veramente. La sicurezza informatica si gioca su ogni livello dello stack tecnologico. ThreatProtection di NordVPN lavora al livello del sistema operativo, ma in questo video abbiamo elencato una serie di rischi e vulnerabilità che riguardano l'hardware e l'accesso fisico all'hardware.

[@shaice]

Chiaro ed esauriente come sempre.. Faccio outing: ho un Air M1 e ho cifrato il disco con Filevault.... :-)

[@RasCavv]

Bitlocker di windows chiede la password anche dopo lo sleep, ma non sempre. Presumo che dopo un certo quantitativo di tempo passi ad una specie di ibernazione, per cui poi richiede la password.

[@myfranci560]

Per un utente normale non cambia assolutamente nulla. La solita obsolescenza programmata spacciata per sicurezza e l' utente paga.

[@luigisola8264]

Certo, condivido al 100% come scrive SCX1988 nel suo commento qui sopra.!!

[@mastermastromastello]

14.00 ok ma se cambio macchina che succede ?

[@morrolinux]

Che al posto del TPM fai lo sblocco con password

[@micheleangelo8189]

Sinceramente non so cosa avete sul pc ma a me personalmente rompe anche dover mettere una password per accenderlo. Ero riuscito a eliminarla e purtroppo con gli aggiornamenti si è ripristinata e non riesco a toglierla. Se magari qualcuno ha consigli in merito gliene sarei grato. Ho windows 10.

[@silviovitale]

Ma veramente ad ogni avvio del pc, tutto l'hd viene decifrato e poi cifrato prima dello spegnimento? E quanto dura il boot? Io pensavo, non sapendo né scrivere né leggere, che i dati su hd rimanessero sempre criptati e venissero decriptati nel momento della lettura e in memoria.

[@morrolinux]

Si in realtà i dati vengono decifrati in tempo reale quando sono letti. Quello che succede veramente è che all'arrivo, sbloccata la chiave di cifratura con il TPM o la password, questa viene caricata in RAM e usata per leggere i dati trasparentemente. Fra l'altro tutte le CPU moderne hanno estensioni apposta per decifrare in tempo reale senza scomodare i thread multi purpose della CPU quindi è praticamente un'operazione a costo zero. Ho detto "decifrare il disco" o sbloccare il disco, come faresti con un lucchetto, per rendere il concetto in maniera più diretta e intuitiva.

[@beppescud6392]

@@morrolinux sicuro? lo sto testando su un notebook recente i5 e nvidia dedicata, preso il natale scorso provato con e senza m2 cifrato.... per me la differenza di prestazioni è molto ma molto percettibile soprattutto nel rendering, ma anche nella semplice indicizzazione dei files, certo se uno usasse il notebook solo per videoscrittura e posta elettronica non se ne accorge nemmeno.... salvo i continui aggiornamenti di office 365 e il firmware del tpm altrimenti il pacchetto win e office non si degnano di partire! Sicurezza si ok ma dover acquistare un i7 o per avere le stesse prestazioni di un i5 di 4 anni fa consumando più risorse energetiche e di autonomia, mi sembra solo una trovata di marketing

[@morrolinux]

@@beppescud6392 Sembra abbastanza anomalo: ho attivato la cifratura sul mio portale con i5 di ottava generazione serie U (risparmio energetico) e non mi sono accorto di nessuna differenza. C'è da dire che sono su Linux ma non credo sia quello

[@danielesecchi4172]

Buongiorno a tutti, forse dico solo una scemenza ma... per chi non avesse proprio il tpm magari per pc vecchiotto, potrebbe inserire la psw per sbloccare la cifratura del disco, accesso automatico all'avvio, e richiesta psw solo al blocco schermo, magari in seguito s stand-by. Cosi inserisci una sola psw ogni volta che vuoi usare il pc, preferibilmente diversa dipende dalla situazione (Avvio/Lock).

[@IPear]

Scusami, hai detto che la schermata di login di Linux è una burla (giustamente) ma se ci rubano il portatile, il TPM si avvia, decritta il disco e l'unica protezione è di nuovo la schermata di login. Allora il vantaggio è solo se smontano fisicamente il disco? Ma a quel punto se vedono che è crittato lo rimontano nel portatile facendo partite il TPM

[@morrolinux]

No, ho detto che la schermata di *sblocco* è una burla, non quella di login. Da PC spento il problema non si pone. È al ritorno dallo standby il problema.

[@walteravvento1320]

Uso ancora windows 7 ma solo per andare su internet che naviga benissimo con mozzilla,uso invece windows xp con tutti i miei programmi che girano a meraviglia e mi diverto anche con il dos, microsoft per me puo pure continuare a produrre spazzatura io non compro piu computer di recente generazione, divagazione a parte, complimenti per i tuoi video che sono molto istruttivi e si denota che sei molto in gamba, ciao 😜

[@alessandrovitali7104]

morro bel video, ma per la full disk encryption il metodo piu sicuro è avere il disco cifrato e le chiavi di cifratura su una memoria usb cosi che senza di questa il pc non possa proprio partire.

[@finmat95]

Se perdi la USB...ciao.

[@alessandrovitali7104]

@@finmat95 ne fai più copie che deponi in luoghi diversi magari in cassette di sicurezza di banca