https://www.auul.pri.ee/wiki/index.php?action=history&feed=atom&title=UEFI_Secure_Boot_kasutamisest_%C3%BCldiselt 2026-05-03T21:24:48Z Selle lehekülje redigeerimiste ajalugu MediaWiki 1.39.13 https://www.auul.pri.ee/wiki/index.php?title=UEFI_Secure_Boot_kasutamisest_%C3%BCldiselt&diff=912&oldid=prev 2024-04-16T23:21:28Z

<p>Uus lehekülg: &#039;===Sissejuhatus=== Tundub, et üldiselt on Secure Boot ja Linux tarkvara kasutamisel kolm suunda * UEFI Setup keskkonnas Secure Boot funktsionaalsuse väljalülitamine * UEFI Secure Boot on sisse lülitatud, aga selle turvalisusega seotud aspektidele ei pöörata tähelepanu; oluline on, et arvuti Linuxiga töötaks ja kõik (nt dual-boot Windows-Linux režiimis töötav arvuti) * UEFI Secure Boot abil süsteemi turvalisuse suurendamine Käesolev tekst tegeleb UEFI Secur...&#039;</p> <p><b>Uus lehekülg</b></p><div>===Sissejuhatus===<br /> <br /> Tundub, et üldiselt on Secure Boot ja Linux tarkvara kasutamisel kolm suunda<br /> <br /> * UEFI Setup keskkonnas Secure Boot funktsionaalsuse väljalülitamine<br /> * UEFI Secure Boot on sisse lülitatud, aga selle turvalisusega seotud aspektidele ei pöörata tähelepanu; oluline on, et arvuti Linuxiga töötaks ja kõik (nt dual-boot Windows-Linux režiimis töötav arvuti)<br /> * UEFI Secure Boot abil süsteemi turvalisuse suurendamine<br /> <br /> Käesolev tekst tegeleb UEFI Secure Boot kasutamisega süsteemi turvalisuse suurendamiseks. Kindlasti ei ole Secure Boot üksi piisav instrument süsteemi turvalisusega tegelemisel, aga kuna kaasaegne riistvara seda võimaldab, oleks tõenäoliselt ebapraktiline seda võimalust mitte kasutada. Nt Windows 8+ operatsioonisüsteemide puhul reeglina on Secure Boot kasutusel.<br /> <br /> UEFI Secure Boot kasutamine on üldiselt võimalik vaid füüsilisel arvutil, millel on vastav riistvaraline tugi (tavaliselt tänapäeva arvutitel on) ja mõnes virtuaalses keskkonnas (VirtualBox, OVMF).<br /> <br /> ===Mõisted===<br /> <br /> * PK (Platform Key)<br /> * KEK (Key Exchange Key)<br /> * DB<br /> * DBX<br /> * DBT<br /> * OVMF (Open Virtual Machine Firmware)<br /> * ExitBootServices - https://lwn.net/Articles/632528/<br /> * kernel system keyring<br /> <br /> ===Tööpõhimõte===<br /> <br /> UEFI Secure Boot kasutamise eesmärgiks võiks olla, et<br /> <br /> * arvutis käivitub ainult kontrollitud esimese astme bootloader shim<br /> * arvutis käivitub ainult kontrollitud järgmise astme bootloader (nt grub2)<br /> * arvutis käivitub ainult kontrollitud tuum<br /> * arvutis käivituvad ainult kontrollitud tuuma moodulid<br /> <br /> Selle tulemusena on välistatud bootkit, rootkit jms nö madala kihi pahalaste tegevused. Kuna pahalane ei saa syscall'ide nö interceptimiseks tuuma enda pahu mooduleid juurde laadida, on tal raskem oma tegevusi varjata operatsioonisüsteemi keskkonnas töötavate staatiliselt kompileeritud utiliitide ja nö tavalise viirustõrje vms HIDS lahenduse eest.<br /> <br /> Tundub, et Secure Boot on mitte-valmis ja arengus valdkond ning erinevad Linuxi distributsioonid on läinud natuke erinevat teed, seda võtab hästi kokku aadressil https://wiki.freebsd.org/SecureBoot, lühidalt<br /> <br /> * Fedora kontrollib kasutatava tarkvara autentsust kuni (ja kaasa arvatud) tuuma moodulid, kui midagi ei läbi kontrolli, arvuti algkäivitumine katkeb<br /> * Ubuntu kontrollib kasutatava tarkvara autentsust kuni bootloaderini (ja kaasa arvatud), kui midagi ei läbi kontrolli, arvuti algkäivitumine katkeb. Sealt edasi võib aga ei pea kontroll õnnestuma (nt saab laadida signeerimata tuuma).<br /> <br /> Vahel on oluline Secure Boot valikute kehtestumiseks kaitsta BIOS ehk UEFI Setup keskkonna kasutamine parooliga.<br /> <br /> PK, KEK ja DB komplektides olevad sertifikaadid ei moodusta üldiselt omavahel sertifikaatide ahelaid issueri ja subject mõttes.<br /> <br /> ===Secure Boot tehnikat kasutava süsteemi tutvustus===<br /> <br /> Secure Boot tehnikat kasutaval süsteemil paistavad välja sellised omadused. Enne bootimist annab secure boot sisselülitamisest tunnistust nt HP ProLiant DL160 Gen9 arvuti puhul<br /> <br /> [[Pilt:Uefi-secure-boof-hpdl160-4.gif]]<br /> <br /> kus<br /> <br /> * Boot Mode - UEFI ja lisaks Secure Boot<br /> <br /> Peale bootimist annab secure boot sisselülitamisest tunnistust<br /> <br /> * Asjakohased teated laaditud sertifikaatidest<br /> <br /> &lt;pre&gt;<br /> # dmesg | grep Loaded<br /> [ 0.697495] EFI: Loaded cert 'Microsoft Windows Production PCA 2011: a92902398e16c49778cd90f99e4f9ae17c55af53' linked to '.builtin_trusted_keys'<br /> [ 0.697535] EFI: Loaded cert 'Microsoft Corporation UEFI CA 2011: 13adbf4309bd82709c8cd54f316ed522988a1bd4' linked to '.builtin_trusted_keys'<br /> [ 0.702545] EFI: Loaded cert 'Fedora Secure Boot CA: fde32599c2d61db1bf5807335d7b20e4cd963b42' linked to '.builtin_trusted_keys'<br /> [ 0.703825] Loaded X.509 cert 'Fedora kernel signing key: 673bb02beed63197377aec66b8b55b48fda09690'<br /> &lt;/pre&gt;<br /> <br /> * kernel system keyring sisu<br /> <br /> &lt;pre&gt;<br /> # keyctl list %:.builtin_trusted_keys<br /> 4 keys in keyring:<br /> 12781590: ---lswrv 0 0 asymmetric: Microsoft Windows Production PCA 2011: a92902398e16c49778cd90f99e4f9ae17c55af53<br /> 209795856: ---lswrv 0 0 asymmetric: Fedora kernel signing key: 673bb02beed63197377aec66b8b55b48fda09690<br /> 866803799: ---lswrv 0 0 asymmetric: Fedora Secure Boot CA: fde32599c2d61db1bf5807335d7b20e4cd963b42<br /> 550204441: ---lswrv 0 0 asymmetric: Microsoft Corporation UEFI CA 2011: 13adbf4309bd82709c8cd54f316ed522988a1bd4<br /> &lt;/pre&gt;<br /> <br /> * dmesg'is paistab Secure Boot nii<br /> <br /> &lt;pre&gt;<br /> # dmesg | grep Secure<br /> [ 0.000000] Secure boot enabled<br /> [ 2.920552] EFI: Loaded cert 'Hewlett-Packard Company: HP UEFI Secure Boot 2013 DB key: 1d7cf2c2b92673f69c8ee1ec7063967ab9b62bec' linked to '.builtin_trusted_keys'<br /> [ 3.009054] EFI: Loaded cert 'SUSE Linux Enterprise Secure Boot Signkey: 3fb077b6cebc6ff2522e1c148c57c777c788e3e7' linked to '.builtin_trusted_keys'<br /> &lt;/pre&gt;<br /> <br /> * bootctl ütleb nii<br /> <br /> # bootctl status<br /> Using EFI System Parition at /boot/efi.<br /> System:<br /> Firmware: n/a (n/a)<br /> Secure Boot: enabled<br /> Setup Mode: user<br /> <br /> ...<br /> <br /> * saab paigaldada, kuid mitte kasutada isekompileeritud tuuma mooduleid<br /> <br /> # apt-get install flashcache-dkms<br /> <br /> ...<br /> # modprobe flashcache<br /> modprobe: ERROR: could not insert 'flashcache': Required key not available<br /> <br /> * arvutilt küsimine, kas Secure Boot on sisse lülitatud<br /> <br /> # mokutil --sb-state<br /> SecureBoot enabled<br /> <br /> ===Ubuntu kasutamine Secure Boot abil===<br /> <br /> Vaikimisi Ubuntu 16.10 kontrollib rangelt tegevusi kuni ja kaasa arvatud GRUB2 bootloaderi laadimiseni. Seejärel lubatakse laadida suvaline kernel. Kui kernel kasutab signeeritud mooduleid, siis ei lubata laadida signeerimata mooduleid. Seejuures tundub, et Ubuntu võti on otse SHIM efi rakenduse sees (mitte MOK andmestikus). Ubuntu probleem on selles, et GRUB2 bootloader ei kontrolli rangelt, kas tuum on signeeritud. Tundub, et Ubuntu 16.10 saab juurutada turvaliselt selliselt<br /> <br /> * kustutada DB seest Mircosoft sertifikaadid<br /> * tekitada privaatne võti-sertifikaat<br /> * kustutada MOK andmestik<br /> * lisada DB peale oma sertifikaat (UEFI Setup keskkonnast saab seda teha ilma mingite lisakinnitusteta)<br /> * kasutada Fedora SHIM ja GRUB2 efi rakendusi, kopeerida /boot/efi/EFI/ubuntu-verified alla tavalise Fedora vastava kataloogi sisust failid<br /> <br /> &lt;pre&gt;<br /> /boot/efi/EFI/fedora/MokManager.efi<br /> /boot/efi/EFI/fedora/shim.efi<br /> /boot/efi/EFI/fedora/shim-fedora.efi<br /> /boot/efi/EFI/fedora/fonts/unicode.pf2<br /> /boot/efi/EFI/fedora/grubx64.efi<br /> &lt;/pre&gt;<br /> <br /> * allkirjastada Fedora shim.efi, grubx64.efi ja kernel oma privaatse võtmega<br /> * osutub, et tuuma moodulid on signeeritud tuuma sees oleva võtmega (mitte üldise Ubuntu võtmega) ja tundub, et loogika on selline, et kui tuum on usaldatud kasutada, siis tuuma iseseisvalt kontrollib oma moodulite usaldusväärsust<br /> <br /> Käsitsi bootimisel sobib öelda efi shellis<br /> <br /> Shell&gt; fs0:<br /> FS0:\&gt; cd efi/ubuntu-verified<br /> FS0:\&gt; shim.efi<br /> <br /> ning grub promptis<br /> <br /> grub&gt; ls<br /> grub&gt; set root=(lvm/system-root)<br /> grub&gt; ls /<br /> grub&gt; linuxefi /boot/vmlinuz-4.8.0-22-generic.efi.signed.test-cert root=/dev/mapper/system-root ro<br /> grub&gt; initrdefi /boot/initrd.img-4.8.0-22-generic<br /> grub&gt; boot<br /> <br /> Sellisel juhul<br /> <br /> * pahalane võib küll asendada shim.efi või grubx64.efi rakendused või kerneli, aga süsteemi ei käivitata kuna ta ei saa neid sobivalt allkirjastada, sest tal puudub privaatne võti<br /> * pahalane ei saa sokutada kasutusse ka Ubuntu default shim.efi ja grubx64.efi rakendusi (et sealt edasi kasutada suvalist tuuma), kuna need on signeeritud Ubuntu poolt, aga Ubuntu võtit ei ole DB andmestikus<br /> <br /> Vale shim.efi rakenduse laadimine paistab nii<br /> <br /> [[Pilt:Uefi-secure-boof-hpdl160-5.gif]]<br /> <br /> Vale tuuma laadimine nii<br /> <br /> [[Pilt:Uefi-secure-boof-hpdl160-6.gif]]<br /> <br /> Vale tuuma mooduli laadimine<br /> <br /> &lt;pre&gt;<br /> # modprobe flashcache<br /> modprobe: ERROR: could not insert 'flashcache': Required key not available<br /> &lt;/pre&gt;<br /> <br /> ===Tegevused peale UEFI-Secure-Boot-proper osa lõppu===<br /> <br /> Secure Boot abil saab käivitada turvaliselt tuuma ja tuuma moodulid, aga tekib küsimus, et mis edasi, nt<br /> <br /> * kas saaks rakendada IMA tehnikat, https://wiki.gentoo.org/wiki/Integrity_Measurement_Architecture, https://wiki.strongswan.org/projects/strongswan/wiki/IMA<br /> * kas arvuti /boot/efi peal asuda nn Ingrity.efi rakendus ja kahtluse korral saab seda kasutada arvuti failisüsteemide kontrollimiseks<br /> <br /> ===Probleemid===<br /> <br /> * grub.conf signeerimine - ilma selleta ei saa küll bootida päris suvalisi kerneleid, aga suvalisi korrektselt signeeritud kerneleid (nt vana tuuma versiooni)<br /> * kexec kasutamine - tundub, et 2016 aastal saab kexec abil laadida ainult korrektselt signeeritud tuuma<br /> <br /> ===Ubuntu signed tuuma kasutamine===<br /> <br /> Ubuntu signed tuuma kasutamiseks tuleb paigaldada vastav signed pakett, nt<br /> <br /> # apt-get install linux-signed-image-generic-hwe-16.04-edge<br /> <br /> kusjuures iseensest see pakett kutsub esile teise paketi paigaldamise, mis sisaldab ainult detached signatuuri<br /> <br /> # dpkg -L linux-signed-image-4.13.0-17-generic<br /> ...<br /> /usr/lib/linux/vmlinuz-4.13.0-17-generic.efi.signature<br /> <br /> ===Misc===<br /> <br /> Windows keskkonnas Secure Boot oleku küsimine, öelda PowerShell promptis<br /> <br /> Confirm-SecureBootUEFI<br /> <br /> ===Kasulikud lisamaterjalid===<br /> <br /> * [[:OVMF ja QEMU kasutamine operatsioonisüsteemiga Debian]]<br /> * https://blogs.technet.microsoft.com/dubaisec/2016/03/14/diving-into-secure-boot/<br /> * https://sourceforge.net/p/linux-ima/wiki/Home/</div>

Imre