TPMによるFDE（ストレージの暗号化）の改良と進捗
2025年7月28日、TPMによるFDE（ストレージの暗号化）の改良と進捗が以下で紹介されています。
Ubuntu Desktop 25.10 の開発方針
以前 Ubuntu Desktop 25.10 の開発方針を紹介しました。TPMによるFDE の改良はその一環です。
FDE とは
FDE とは Full Disk Encryption の略称であり、ディスク上のあらゆるデータを暗号化し、正規のユーザーがデータを復号化しない限り、データにアクセスできなくする仕組みです。以前から FDE が提供していた
Ubuntu では以前から FDE（ストレージの暗号化）オプションをインストーラーで提供してきました。ストレージの暗号化オプションを有効化すると、インストール段階でユーザーは暗号化したストレージを復号化するためのパスフレーズを設定することになります。
TPM とは
次に TPM（Trusted Platform Module）です。Windows 11 が TPM を要求することもあり、最近の PC には TPM がマザーボード上に実装されています。
ちなみに TPM 自体は完全にソフトウェアで実装することも可能です。
ソフトウェアとハードウェアの検証
TPM により OS 起動時にプラットフォームの整合性を確認でき、OS が起動される前に実行される大部分のソフトウェアやファームウェア、そして起動の初期段階で実行される重要なコンポーネントが検証され、問題ないと判断された条件下でのみ、ストレージの復号化が許可されます。この TPM を活用したセキュリティーを実現するためには、OS との緊密な連携が必須となります。
これにより OS インストール時のハードウェアとソフトウェアが、ユーザーが信頼したものと同一であることを検証し、後にそれらが改ざんされていないことを保証できます。
加えて暗号化されたストレージを別の環境に持っていっても、ハードウェアが異なるため復号化できないことも保証されます。
ただしこの場合でもユーザーが回復キーを用いて復号化することは可能ですので、回復キーの管理は厳重に行いましょう。
インストーラーの TPM のサポート強化
インストーラーの TPM のサポートを強化する作業が行われています。確実に TPM/FDE を扱えるように
まずユーザーが確実に TPM/FDE を扱えるように、よりきめ細やかなチェック機構を導入しました。これはハードウェアの設定/構成ミスやインストール後の問題により、実際は TPM/FDE が十分に機能していないにも関わらず、あたかも機能しているかのようにユーザーが誤認してしまう問題を取り除くためです。
つまり TPM が搭載されていれば何でも良いというわけではありません。
TPM による暗号化の選択
これを実現するためインストーラーの暗号化オプションでは、PC に実装されている TPM のバージョンが十分に新しいこと、既知の未修正の脆弱性がないこと、適切な構成になっていることなどをチェックします。その結果問題がない場合のみ、ユーザーは TPM による暗号化を選択できるようになります。
警告メッセージの表示
もしインストールの妨げになるような問題が見つかった場合は、以下のように警告メッセージを表示するようになりました。
将来的な改善
Ubuntu 25.10 より後で予定されている改善作業では、セキュアブートの有効化などユーザーが手動で実行すべきアクションや、ユーザーが同意した後 TPM をクリアするなど snapd が直接実行可能な操作を実行するアクションが実装される予定です。回復キー
TPM/FDE でストレージを暗号化して Ubuntu をインストールすると、回復キーも生成されます。回復キーの役割
いわゆるマスターキーです。TPM やパスフレーズを回避して暗号化されたストレージを復号化する時に使用されます。
先に紹介したとおり TPM による暗号化はハードウェアも検証対象になります。
ストレージを新しい PC に流用した時など検証対象になっているハードウェア構成を変更した時やファーウェアをアップデートした時に改ざんされたシステムと判断された場合、この回復キーに出番が回ってきます。
またユーザーがパスフレーズを忘れてしまい、ストレージを復号化できなくなってしまった場合も、この回復キーに出番が回ってきます。
ユーザーにとって回復キーは、紛失及び漏洩してはならない非常に重要なキーです。
インストーラーに回復キーの表示
その重要性をユーザーに示すために、インストーラーの最後の画面の中央に回復キーが表示されます。ユーザーはこの回復キーを紙にメモするか、別のストレージ（ライブシステム以外のストレージ）に保存するか、QR コードとして表示して読み取るか選択できるようになりました。
加えてユーザーが回復キーの保存作業の完了を示すチェックボックスが追加され、不用意にこの画面を閉じれないようになっています。
パスフレーズ
本来 TPM では、TPM 側にストレージを復号化するためのキーが含まれているため、Ubuntu 起動時にユーザーがパスフレーズを入力しなくても自動的に TPM を経由してストレージのロックが解除されます。またこの時点でソフトウェアとハードウェアの検証が通っているということにもなります。
さらなる保護
これに加えさらにパスフレーズによるストレージの保護も可能です。パスフレーズを利用する場合、TPM によるソフトウェアとハードウェアの検証が終わった後に、さらにユーザーによるパスフレーズの入力でストレージを復号化することになります。
インストーラーでパスフレーズを設定
パスフレーズによりストレージを二重に保護したい場合は、インストーラーでパスフレーズを設定します。
パスフレーズが設定された場合、Ubuntu 起動時に以下のようにパスフレーズの入力を求める画面が表示されます。
パスフレーズの変更
Ubuntu インストール後にパスフレーズを変更する場合、Security Center で変更可能になる予定です。
ただしこの機能は、Ubuntu 25.10 には間に合わない可能性があります。
ファームウェアとハードウェアの更新
ファームウェアをアップデートする UI との統合・連携機能も検討されています。DBX のアップデート
UEFI ファームウェアの DBX（セキュアブートに使用される署名データベース）のアップデートでは、snapd が TPM の状態を事前に把握することができるため、DBX をアップデートしても引き続きユーザーが何もしなくても動作するように透過的に対応できます。新しいファームウェアやハードウェアの交換
新しいファームウェアの導入やハードウェアの交換など、起動時の TPM の新しい状態を事前に把握できないケースもあります。この場合新しい状態が有効かつ信頼できる状態であるということを記録するために、ユーザーに回復キーの入力を求めます。
回復キーがないと詰む
ということは、回復キーがないともうストレージ内のデータにはアクセスできなくなるということです。回復キーの確認
そのためファームウェアをアップデートする時に、回復キーの入力をユーザーに求めるようにします。そうすればユーザーは回復キーが手元にあることを確認でき、ファームウェアのアップデート後にストレージ内のデータにはアクセスできなくなるトラブルを回避できるでしょう。
事前の回復キーの入力（回復キーの存在確認）は、必要な時のみ行われます。
DBX のアップデートのように透過的に対応できる場合は、そもそも回復キーの入力が必要ないため、このようなケースで事前の回復キーの入力は求められません。
Windows との兼ね合い
Windows にも TPM を活用したストレージの暗号化機能があります。Windows と Ubuntu
Windows と Ubuntu のデュアルブート構成など同一マシンに Windows と Ubuntu がインストールされており、かつ Windows 側で BitLocker を利用している場合、Ubuntu 側で DBX のアップデートを含むファームウェアのアップデートを実行すると、次回 Windows 起動時に回復キーが求められるでしょう。この時 Ubuntu 側で TPM を利用しているかどうかは関係ありません。
Ubuntu 側からファーウェアをアップデートする時
Ubuntu 側からファーウェアをアップデートする際に上記のような状況が想定される場合、ユーザーがファームウェアをアップデートする前にその旨を示す警告メッセージが表示されます。回復キーの再生成
回復キーを忘れてしまった場合や紛失してしまった場合、回復キーの再生成が可能です。ただしシステムが正常に起動していることが前提です。
回復キーの再生成は、Security Center から行えます。
ドライバーのサポート改善
TPM/FDE では Linux kernel が Snap で構成されます。このシステムで NVIDIA GPU ドライバーなどサードパーティー製のドライバーのサポートが十分にできていません。
サードパーティー製のドライバーのサポート作業は現在進行中です。
