Es geht hier speziell um das Modell s920. Bei Recherchen zu meinen letzten Experimenten hatte ich auch realisiert, dass ich einen solchen Thin Client mit montiertem TPM besitze - das musste natürlich ausprobiert werden!

Das bestückte TPM in einem Futro s920

Dafür war zunächst mal im BIOS (UEFI) das TPM zu aktivieren. Anschließend habe ich sehen können, dass das TPM aktiv war (die nächsten Befehle werden bis auf weiteres vom Nutzer root ausgeführt):

journalctl -k --grep=tpm
ls -ld /dev/tpm*

Als nächstes habe ich das TPM in den Urzustand zurückversetzt - ich habe es geleert:

echo 5 > /sys/class/tpm/tpm0/ppi/request
reboot

Beim Booten kommt nun die Frage, ob das TPM wirklich geleert werden soll. Das muss man entsprechend bestätigen (PPI - Physical Presence Indicator).

Anschließend installieren wir alle benötigte Software und sehen uns einige Metainformationen über das TPM an: Wir stellen fest, dass es sich um eins der Version 1.2 handelt - also nichts für Windows 11...

apt update
apt install git build-essential autoconf automake libtool pkg-config m4 tpm-tools libtspi-dev libopencryptoki-dev libssl-dev simple-tpm-pk11 tpm-tools opensc
tpmtool --list
tpm_selftest 
tpm_selftest -l info
tpm_version
cat /sys/class/tpm/tpm0/device/caps
cat /sys/class/tpm/tpm0/device/tpm_version_major

Nun werden Kommandos ausgeführt, die dafür sorgen, dass das TPM wirklich uns gehört. Dabei muss man einige Passwörter festlagen:

tpm_takeownership -z
tpm_changeownerauth -s -r

Nun geht es an die Installation der benötigten Software:

git clone https://github.com/ThomasHabets/simple-tpm-pk11.git
cd simple-tpm-pk11/
./bootstrap.sh 
./configure && make && sudo make install

Wichtig ist jetzt noch, das Installationsverzeichnis der PKCS11-Library zu ermitteln:

dpkg -L simple-tpm-pk11

Das war erst einmal alles, was root erledigen muss - ab hier übernimmt der Nutzer: Zunächst wird einmal ein Schlüsselpaar erzeugt:

mkdir ~/.simple-tpm-pk11/
stpm-keygen -o ~/.simple-tpm-pk11/my.key
echo "key my.key" > ~/.simple-tpm-pk11/config

Dann wandelt man den Public Key noch ins openssh-Format um (ab hier benötigt man die oben ermittelte Location - in unserem Beispiel /usr/lib/x86_64-linux-gnu/libsimple-tpm-pk11.so ):

ssh-keygen -D /usr/lib/x86_64-linux-gnu/libsimple-tpm-pk11.so >/tmp/tpm

Diesen Schlüssel kann man nun auf einem Zielsystem an die Datei ~/.ssh/authorized_keys anhängen. Daraufhin kann man sich mittels

ssh -I /usr/lib/x86_64-linux-gnu/libsimple-tpm-pk11.so user@host

per ssh an einem Zielsystem anmelden und dabei wird dann der Schlüssel im TPM zur Authentifizierung genutzt!

Das pkcs11-tool funktioniert ebenfalls mit dieser Bibliothek, was erste Tests nachweisen:

pkcs11-tool --module /usr/lib/x86_64-linux-gnu/libsimple-tpm-pk11.so -I
pkcs11-tool --module /usr/lib/x86_64-linux-gnu/libsimple-tpm-pk11.so -L

Links