9.5. 基本的な NBDE および TPM2 暗号化クライアント操作

Tang サーバーにバインドされた暗号化クライアント

• Clevis 暗号化クライアントが Tang サーバーにバインドされることを確認するには、clevis encrypt tang サブコマンドを使用します。

  $ clevis encrypt tang '{"url":"http://tang.srv:port"}' < input-plain.txt > secret.jwe
  The advertisement contains the following signing keys:
  
  _OsIk0T-E2l6qjfdDiwVmidoZjA
  
  Do you wish to trust these keys? [ynYN] y

  上記の例の http://tang.srv:port URL は、tang がインストールされているサーバーの URL と一致するように変更します。secret.jwe 出力ファイルには、JWE 形式で暗号化した暗号文が含まれます。この暗号文は input-plain.txt 入力ファイルから読み込まれます。

  また、設定に SSH アクセスなしで Tang サーバーとの非対話型の通信が必要な場合は、アドバタイズメントをダウンロードしてファイルに保存できます。

  $ curl -sfg http://tang.srv:port/adv -o adv.jws

  adv.jws ファイル内のアドバタイズメントは、ファイルやメッセージの暗号化など、後続のタスクに使用します。

  $ echo 'hello' | clevis encrypt tang '{"url":"http://tang.srv:port","adv":"adv.jws"}'

• データを複号するには、暗号文 (JWE) を指定して clevis decrypt コマンドを実行します。

  $ clevis decrypt < secret.jwe > output-plain.txt

TPM 2.0 を使用する暗号化クライアント

• TPM 2.0 チップを使用して暗号化するには、JSON 設定オブジェクト形式の引数だけを指定した clevis encrypt tpm2 サブコマンドを使用します。

  $ clevis encrypt tpm2 '{}' < input-plain.txt > secret.jwe

  別の階層、ハッシュ、および鍵アルゴリズムを選択するには、以下のように、設定プロパティーを指定します。

  $ clevis encrypt tpm2 '{"hash":"sha256","key":"rsa"}' < input-plain.txt > secret.jwe

• データを復号するには、JSON Web Encryption (JWE) 形式の暗号文を提供します。

  $ clevis decrypt < secret.jwe > output-plain.txt