Tutorial Hardening Disk Linux: Enkripsi LUKS2 & Auto-Unlock TPM 2.0 di VPS

Bayangkan situasi ini: provider VPS tempat kamu menyewa server mengalami kebocoran data di level infrastruktur. Atau ada staf teknis yang tidak sengaja membuat backup snapshot disk servermu lalu mengunggahnya ke repositori publik. Di dalam disk itu ada file .env berisi kredensial database, API key payment gateway, dan kunci SSH private. Semuanya terbuka tanpa enkripsi.

Banyak developer menganggap password root yang kuat sudah cukup mengamankan VPS. Anggapan ini keliru. Jika seseorang berhasil mengambil file citra disk (disk image) dari luar sistem operasi yang berjalan, password root tidak ada gunanya. Si siapa pun bisa me-mount file disk tersebut ke VPS lain dan membaca seluruh Isinya tanpa hambatan.

Solusinya adalah memperketat keamanan data-at-rest menggunakan enkripsi partisi LUKS2. Supaya VPS tetap bisa me-reboot otomatis tanpa tertahan meminta input passphrase manual, kita bakal mengaitkan enkripsi ini ke modul hardware TPM 2.0 menggunakan systemd-cryptenroll.

Ancaman Nyata Snapshot VPS dan Data-at-Rest

VPS kamu berjalan di atas hipervisor seperti KVM, Proxmox, atau AWS Nitro. Hipervisor ini punya akses penuh ke storage fisik. Dari sudut pandang server induk, seluruh isi VPS kamu hanyalah satu file besar di dalam harddisk mereka.

Beberapa skenario ancaman yang sering terjadi di lapangan:

• Kebocoran snapshot backup: Fitur auto-backup penyedia cloud membuat salinan identik dari disk VPS. Ketika tempat penyimpanan backup ini bocor, semua data langsung terekspos.
• Storage bekas pakai tidak dibersihkan: Saat kamu menghapus instansi VPS, blok storage lama bisa langsung dialokasikan ke pengguna lain tanpa proses pembersihan (zero-fill) yang benar.
• Pencurian fisik atau migrasi server: Pihak yang memiliki akses fisik ke pusat data dapat mencopot drive atau mengopi file storage secara langsung.

Enkripsi partisi LUKS2 (Linux Unified Key Setup v2) mengacak seluruh isi blok penyimpan data. Tanpa kunci dekripsi, isi disk cuma berupa karakter acak tidak bermakna. Masalahnya: bagaimana membuat VPS bisa booting ulang secara otomatis tanpa perlu campur tangan manusia untuk mengetikkan passphrase?

Jawabannya ada di chip TPM 2.0 (Trusted Platform Module). Modul enkripsi hardware ini menyimpan kunci kriptografi secara aman di motherboard atau disimulasikan oleh hipervisor modern.

Persiapan dan Format Partisi LUKS2

Pastikan sistem Linux kamu memakai systemd versi 248 atau yang lebih baru. Distro modern seperti Ubuntu 22.04 LTS, Debian 12, dan Enterprise Linux 9 sudah memenuhi syarat ini.

Cek ketersediaan perangkat TPM 2.0 di VPS kamu dengan perintah ini:

ls -l /dev/tpmrm0

Jika terminal menampilkan file karakter /dev/tpmrm0, modul TPM 2.0 sudah aktif. Jika file tidak ditemukan, aktifkan fitur vTPM (virtual TPM) melalui panel kontrol penyedia VPS atau konfigurasi VM kamu.

Sebagai contoh, kita akan mengamankan partisi data sekunder di /dev/sdb1 yang digunakan untuk menyimpan database dan file aplikasi.

Jalankan perintah format LUKS2 menggunakan cipher standar AES-XTS 512-bit dan argon2id:

sudo cryptsetup luksFormat --type luks2 --cipher aes-xts-plain64 --key-size 512 --pbkdf argon2id /dev/sdb1

Sistem akan meminta konfirmasi. Ketik YES dengan huruf kapital, lalu masukkan passphrase utama. Simpan passphrase ini di password manager sebagai kunci pemulihan darurat.

Setelah format selesai, buka partisi terenkripsi untuk membuat filesystem ext4:

sudo cryptsetup open /dev/sdb1 data_terenkripsi
sudo mkfs.ext4 /dev/mapper/data_terenkripsi

Partisi kini aktif di /dev/mapper/data_terenkripsi dan siap dihubungkan ke chip TPM 2.0.

Tautkan TPM 2.0 Menggunakan systemd-cryptenroll

Dulu, menghubungkan LUKS dengan TPM membutuhkan skrip rumit dan tool seperti clevis. Sekarang, systemd-cryptenroll menyederhanakan seluruh proses ini menjadi satu perintah.

TPM 2.0 mengunci data berdasarkan kondisi integritas sistem saat booting. Kondisi ini dicatat dalam register khusus bernama Platform Configuration Registers (PCR).

Cek daftar slot kunci pada partisi LUKS2 kamu saat ini:

sudo cryptsetup luksDump /dev/sdb1

Default-nya hanya Keyslot 0 yang terisi passphrase manual. Tautkan partisi ke modul TPM 2.0 dengan perintah ini:

sudo systemd-cryptenroll --tpm2-device=auto --tpm2-pcrs=0+7 /dev/sdb1

Perintah tersebut akan mendeteksi chip TPM, membuat kunci rahasia baru yang terikat ke register `PCR 0` dan `PCR 7`, lalu mengisikannya ke slot kunci kosong di header LUKS2.

Selanjutnya, atur pembukaan otomatis saat booting. Ambil UUID partisi asli /dev/sdb1:

sudo blkid /dev/sdb1

Buka file /etc/crypttab, tambahkan konfigurasi ini di baris paling bawah:

data_terenkripsi UUID=12345678-abcd-1234-abcd-123456789abc none tpm2-device=auto

Ganti string `UUID` sesuai hasil dari perintah `blkid`. Parameter `tpm2-device=auto` memerintahkan initramfs membaca chip TPM 2.0 untuk membuka disk tanpa prompt password.

Daftarkan direktori mount pada file /etc/fstab agar partisi otomatis terpasang ke /mnt/data saat booting:

/dev/mapper/data_terenkripsi /mnt/data ext4 defaults,nofail 0 2

Opsi nofail mencegah proses booting berhenti total jika terjadi kendala pada partisi terenkripsi.

Uji Auto-Unlock dan Buat Recovery Key

Jangan pernah berasumsi konfigurasi otomatis langsung berhasil tanpa diuji. Jika ada perubahan pada firmware VPS yang mengubah nilai hash TPM, disk bisa terkunci.

Buat kunci pemulihan (recovery key) cadangan yang terpisah dari chip TPM maupun passphrase utama:

sudo systemd-cryptenroll --recovery-key /dev/sdb1

Sistem akan menampilkan string kunci pemulihan yang panjang. Catat kunci ini dan simpan di lokasi fisik yang aman atau password manager terenkripsi. Jangan menyimpan file kunci ini di dalam disk yang sedang dienkripsi.

Sekarang uji proses booting otomatis dengan me-reboot VPS:

sudo reboot

Setelah server kembali menyala, masuk via SSH dan periksa status partisi:

lsblk
df -h /mnt/data

Jika partisi terpasang di /mnt/data tanpa meminta passphrase saat reboot, integrasi TPM 2.0 berhasil.

Strategi Pemilihan PCR Policy

Keamanan enkripsi berbasis TPM bergantung pada kombinasi PCR (Platform Configuration Register) yang kamu pilih. PCR menyimpan nilai hash dari status hardware dan software sejak awal booting.

Indeks PCR penting pada arsitektur x86_64:

• PCR 0: Mengukur firmware BIOS/UEFI.
• PCR 2: Mengukur driver dan Option ROM.
• PCR 4: Mengukur bootloader (GRUB) dan argumen kernel.
• PCR 7: Mengukur status Secure Boot dan sertifikat otentikasi.

Jika kamu memasukkan `PCR 4`, setiap kali ada pembaruan kernel via apt upgrade, nilai hash PCR 4 akan berubah. Akibatnya, TPM menolak membuka disk pada booting berikutnya.

Untuk VPS yang rutin menerima update kernel, gunakan kombinasi PCR 0+7 atau PCR 7 saja. Pilihan ini menjaga disk tetap aman dari modifikasi firmware dan perubahan Secure Boot, tanpa membuat server terkunci saat kernel diperbarui.

Selalu cadangkan header LUKS2 secara berkala ke lokasi terpisah:

sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file ~/luks_header_backup.img

File backup ini berguna untuk memulihkan struktur enkripsi jika header pada disk mengalami kerusakan fisik.

Kesimpulan

Mengamankan data sensitif di VPS tidak harus menyulitkan operasional harian. Kombinasi enkripsi LUKS2 dan pemindaian chip TPM 2.0 via systemd-cryptenroll memberikan perlindungan data-at-rest maksimal tanpa mengorbankan fitur auto-reboot server.

Cek ketersediaan TPM di servermu sekarang dengan menjalankan ls -l /dev/tpmrm0. Uji coba langkah-langkah di atas pada partisi data sekunder sebelum menerapkannya ke seluruh sistem produksi.