Secure Boot

Aktuelles zu Secure Boot

Pakete von diesem Paketserver sind unsigniert! Damit können diese Kernels nicht einfach so im Secure Boot Prozess benutzt werden.

Abhilfe schafft das folgende Paket:

Paket kernelsign

Das auf diesem Repo verfügbare Paket kernelsign stellt das Bash Script /etc/kernel/postinst.d/sign-with-mok zur Verfügung das:

• überprüft mit sbverify ob das neu installierte Kernel eine Signatur trägt,
• falls es keine Signatur hat, benutzt das Script den lokalen DKMS Key /var/lib/dkms/mok.key um das Kernel mit sbsign zu signieren und
• der pubkey /var/lib/dkms/mok.pub wird mit openssl ins PEM Format konvertiert. (wird von sbsign benötigt)

Installation mit: sudo apt install kernelsign

Checkliste für funktionierendes Secure Boot

Mehr Doku dazu gibts bei Debian: Secure Boot

• Sicherstellen, dass eine möglichst neue BIOS Firmware vom Mainboard verwendet wird.
• Sicherstellen, dass im BIOS auch Signaturen der „Microsoft UEFI 3rd Party CA“ erlaubt sind. (SHIM wird damit signiert)
• Überprüfen ob die Signaturkette von shim passt:
  • Das Kommando efi-readvar gibt die Schlüssel aus, die im UEFI hinterlegt sind. Auszuführende Bootloader müssen also eine Signatur von einem dieser Keys tragen, dass sie im SecureBoot Kontext gebootet werden können.
  • Die Signatur von Shim ausgeben/überprüfen: sbverify --list /boot/efi/EFI/debian/shimx64.efi
• Wurde wirklich via EFI gebootet? Manche Systeme booten auch im Legacy CSM Modus.
  • Existiert der Ordner /sys/firmware/efi (mit Inhalt) wurde via EFI gebootet.
  • Alternativ beantwortet die Frage auch: sudo mokutil --sb-state
• efibootmgr ausführen und sicherstellen, dass shimx64.efi gebootet wird und nicht grubx64.efi
  • Gibt es kein entsprechendes SHIM Boottarget, eines erstellen mit: sudo efibootmgr \ --create --disk /dev/nvme0n1 --part 1 \ --label "shim" --loader "/EFI/debian/shimx64.efi"
  • --disk zeigt auf das Bootdevice
  • --part ist die Nummer der EFI Partition
• mit sudo mokutil --list-enrolled nachprüfen, welche Machine Owner Keys registriert sind.
  • Es sollten zwei Schlüssel sein:
    • Debian Secure Boot CA
    • DKMS module signing key
  • Der Debian Secure Boot CA ist Standard, damit kann ein Debian-Kernel mit Secure Boot gestartet werden. Der DKMS module signing key wird lokal von DKMS erzeugt, mit dem der automatische Bauprozess z. B. das ZFS Modul signiert.
  • Der lokal angelegte DKMS module signing key liegt hier: /var/lib/dkms/mok.pub
  • Für den Import:
    • sudo mokutil --import /var/lib/dkms/mok.pub
    • Es wird nach einem Passwort gefragt, das man nur einmal wieder benötigt.
    • Reboot des Systems und MOK Manager wird gestartet.
    • „Enroll MOK“ auswählen.
    • Vorher gewähltes Passwort eingeben und den DKMS module signing key anhand der Serial bestätigen.
• Überprüfen ob das gebaute ZFS Modul signiert ist:
  • sudo modinfo zfs | grep sign
    • Resultat: signer: DKMS module signing key
• Überprüfen ob das Kernel signiert ist (blarg = Beispiel):
  • sbverify --list /boot/vmlinuz-blarg
    • Standard Kernel: signature 1 image signature issuers: /CN=Debian Secure Boot CA…
    • Custom Kernel signiert: signature 1 image signature issuers: /CN=DKMS module signing key…
    • Custom kernel unsigniert: No signature table present
  • Ist das Kernel unsigniert, das kernelsign Paket dieses Repos installieren und Kernel entfernen und neu installieren.

Bootprozess und Signaturen