14. Cum se configurează și se activează boot-ul securizat pentru Arch Linux

 

Secure Boot este o caracteristică a firmware-ului UEFI concepută pentru a asigura că doar software-ul semnat și de încredere poate rula pe sistemul dvs. în timpul procesului de pornire. Este o măsură de securitate critică ce poate ajuta la protejarea sistemului de atacuri de nivel scăzut, cum ar fi bootkit-uri și rootkit-uri. Cu toate acestea, activarea Secure Boot pe Linux, în special pe o distribuție precum Arch Linux, poate părea complicată din cauza modului în care Linux interacționează cu UEFI și a lipsei de suport implicit pentru Secure Boot. Acest articol vă va ghida prin configurarea și activarea Secure Boot pe Arch Linux, explicând procesul în detaliu și oferind pașii necesari.

Ce este bootarea securizată?

Secure Boot face parte din specificația UEFI (Unified Extensible Firmware Interface) și are ca scop securizarea procesului de bootare. Când Secure Boot este activat, sistemul verifică semnăturile digitale ale încărcătorului de boot, ale kernelului și ale oricăror alte componente de bootare pentru a se asigura că acestea sunt de încredere. Dacă vreo componentă este nesemnată sau modificată în vreun fel, Secure Boot va împiedica bootarea sistemului.

Pe sistemele care acceptă Secure Boot, această funcție poate ajuta la atenuarea riscului de rulare a software-ului neautorizat în timpul procesului de pornire. De exemplu, software-ul rău intenționat, cum ar fi bootloader-ele și rootkit-urile care încearcă să obțină controlul înainte de pornirea sistemului de operare, poate fi blocat. Deși Secure Boot este utilizat în mod obișnuit în Windows, distribuțiile Linux precum Arch Linux nu îl acceptă nativ din fabrică. Prin urmare, configurarea Secure Boot pe Arch Linux necesită o configurare suplimentară.

Cerințe preliminare

Înainte de a putea configura Secure Boot pe Arch Linux, asigurați-vă că sunt îndeplinite următoarele condiții:

1. Firmware UEFI : Asigurați-vă că sistemul dvs. are firmware UEFI. Puteți verifica dacă sistemul dvs. rulează în modul UEFI utilizând următoarea comandă:

   ls /sys/firmware/efi
   

   Dacă directorul există, rulați în modul UEFI.

2. Secure Boot acceptat : Verificați dacă firmware-ul UEFI al sistemului dvs. acceptă Secure Boot. Această opțiune se găsește de obicei în meniul de setări UEFI (BIOS).

3. Instalare Arch Linux : Secure Boot necesită un bootloader semnat, deci veți avea nevoie de o instalare Arch Linux funcțională cu un bootloader care acceptă Secure Boot. GRUB este cea mai comună alegere în acest scop.

4. Instrumente de semnare : Pentru a activa Secure Boot, veți avea nevoie de instrumente pentru a semna bootloader-ul și kernel-ul. Aceasta include sbsigntoolssemnarea fișierelor și mokutilgestionarea Machine Owner Key (MOK).

Ghid pas cu pas pentru activarea Secure Boot pe Arch Linux

Pasul 1: Pregătiți-vă sistemul

1. Copiere de rezervă a datelor : Activarea funcției Secure Boot implică modificarea bootloader-ului și a kernel-ului. Este întotdeauna o idee bună să faceți o copie de rezervă a datelor importante înainte de a continua.

2. Instalați pachetele necesare : Veți avea nevoie de câteva utilitare pentru a configura și gestiona Secure Boot, cum ar fi efibootmgr, sbsigntoolsși mokutil. Instalați aceste pachete pe sistemul dvs. Arch Linux:

   sudo pacman -S efibootmgr sbsigntools mokutil
   

Pasul 2: Activați Secure Boot în UEFI

1. Intrați în configurarea UEFI : Reporniți sistemul și introduceți setările UEFI apăsând tasta corespunzătoare (de obicei F2, F12, ESC, sau DEL) în timpul procesului de pornire.

2. Activați Secure Boot : Găsiți opțiunea Secure Boot în setările UEFI (adesea situată sub fila „Boot” sau „Securitate”) și activați-o. Asigurați-vă că salvați modificările înainte de a ieși.

3. Alegeți modul de gestionare a cheilor : În unele sisteme UEFI, Secure Boot necesită fie utilizarea cheilor implicite, fie adăugarea propriilor chei. Dacă vi se solicită, alegeți opțiunea care vă permite să gestionați propriile chei (acest lucru este important dacă intenționați să semnați propriul bootloader și kernel).

Pasul 3: Configurați Bootloader-ul (GRUB)

În majoritatea cazurilor, Arch Linux folosește GRUB ca bootloader. Cu toate acestea, pentru a funcționa cu Secure Boot, bootloader-ul trebuie să fie semnat cu o cheie care este de încredere pentru firmware-ul UEFI.

1. Instalați GRUB : Dacă nu ați instalat deja GRUB pe sistemul dvs. Arch Linux, îl puteți instala executând următoarele:

   sudo pacman -S grub
   

2. Instalați GRUB pentru UEFI : După instalarea GRUB, instalați versiunea UEFI a bootloader-ului:

   sudo grub-install --target=x86_64-efi --efi-directory=/boot --bootloader-id=GRUB --recheck
   

   Asigurați-vă că partiția de sistem EFI este montată la /bootînainte de a executa comanda.

3. Generați configurația GRUB : Generați fișierul de configurare GRUB pentru a include intrări pentru kernel-urile instalate:

   sudo grub-mkconfig -o /boot/grub/grub.cfg
   

4. Semnarea bootloader-ului GRUB : Boot-ul securizat necesită semnarea bootloader-ului. Folosiți sbsign(din sbsigntoolspachet) pentru a semna fișierul binar GRUB. Mai întâi, creați un director pentru a stoca cheile de semnare:

   mkdir -p ~/secure_boot
   cd ~/secure_boot
   

   Apoi, generați o nouă pereche de chei pentru semnare:

   openssl req -new -newkey rsa:2048 -days 3650 -nodes -keyout db.key -out db.csr
   openssl x509 -req -in db.csr -out db.crt -signkey db.key
   

   este db.keycheia ta privată și db.crteste cheia ta publică. Acum, semnează bootloader-ul GRUB:

   sbsign --key db.key --cert db.crt --output /boot/efi/EFI/GRUB/grubx64.efi /boot/efi/EFI/GRUB/grubx64.efi
   

5. Înregistrarea cheii : Pentru a permite sistemului dvs. să accepte bootloader-ul semnat, trebuie să înregistrați cheia în firmware-ul UEFI folosind comanda mokutil:

   sudo mokutil --import db.crt
   

   Aceasta va crea o solicitare pentru a înregistra cheia la repornire. Urmați instrucțiunile de pe ecran pentru a seta o parolă și a finaliza procesul de înscriere.

Pasul 4: Semnați kernelul Linux

Pe lângă semnarea bootloader-ului, trebuie să semnați și kernel-ul Linux pentru ca acesta să poată fi încărcat prin Secure Boot.

1. Semnați kernelul : Folosiți sbsigninstrumentul pentru a semna kernelul. Puteți găsi imaginea kernelului (de obicei localizată în /boot) și o puteți semna:

   sbsign --key db.key --cert db.crt --output /boot/vmlinuz-linux.signed /boot/vmlinuz-linux
   

2. Configurați GRUB pentru a utiliza kernelul semnat : Actualizați configurația GRUB pentru a porni kernelul semnat:

   sudo grub-mkconfig -o /boot/grub/grub.cfg
   

Pasul 5: Reporniți și înregistrați cheia

După finalizarea pașilor de mai sus, reporniți sistemul. În timpul pornirii, vi se va solicita să înregistrați MOK-ul (Machine Owner Key - Cheia de Proprietar a Mașinii) pe care l-ați creat anterior. Acest pas asigură că sistemul recunoaște și are încredere în cheile personalizate pe care le-ați folosit pentru a semna bootloader-ul și kernel-ul.

1. Înregistrare MOK : Urmați instrucțiunile pentru a înregistra cheia. Va trebui să introduceți parola setată anterior.

2. Finalizare bootare : După ce cheia este înscrisă, sistemul va continua bootarea, iar bootarea securizată va fi acum activată.

Pasul 6: Verificați starea pornirii securizate

În cele din urmă, ar trebui să verificați dacă Secure Boot funcționează conform așteptărilor. Puteți verifica starea folosind următoarea comandă:

mokutil --sb-state

Dacă este activată Secure Boot, ieșirea va indica faptul că Secure Boot este activă.

Depanare

1. Erori la pornire : Dacă sistemul nu pornește după activarea funcției Secure Boot, asigurați-vă că cheile sunt înscrise corect, iar încărcătorul de boot și kernelul sunt semnate corespunzător. Puteți dezactiva temporar Secure Boot pentru a depana și apoi o puteți reactiva după ce problema este rezolvată.

2. Module nesemnate : Dacă utilizați module kernel nesemnate, Secure Boot va împiedica încărcarea acestora. Va trebui fie să semnați modulele, fie să dezactivați Secure Boot pentru acele module specifice.

3. Probleme legate de înscrierea MOK : Dacă înscrierea MOK eșuează, este posibil să fie nevoie să reînregistrați manual cheia folosind mokutilinstrumentul.

Concluzie

Activarea funcției Secure Boot pe Arch Linux oferă un nivel suplimentar de securitate, asigurându-se că în timpul procesului de bootare se poate rula doar software-ul semnat și de încredere. Deși Arch Linux nu acceptă nativ Secure Boot, îl puteți configura manual semnând bootloader-ul și kernel-ul și înscriind cheile corespunzătoare în firmware-ul UEFI.

Urmând pașii descriși în acest articol, puteți activa cu succes Secure Boot pe sistemul dvs. Arch Linux, asigurându-vă că acesta este protejat de anumite tipuri de atacuri de nivel scăzut și programe malware la nivel de boot.

Sursa: Siberoloji