[devel] Q: pesign/UEFI

[devel] Q: pesign/UEFI

[Konstantin Lepikhov]

Привет!

А научите, как правильно пользоваться pesign в ALTLinux. С ходу понять это
невозможно.

Вот есть такой документ на wiki
https://en.altlinux.org/UEFI_SecureBoot_mini-HOWTO

Где написано, что если вы хотите что-то подписать "на коленке" через
самподписанный сертфикат, то будьте добры сделайте свой ca cert, потом им
подпишите signer cert и потом это все подсуньте pesign. Это все здорово,
но:

- Как это работает в hasher?
- Как у нас подписан grub2? В сизифе я вижу что grub2-efi подписан
  сертификатом ALT UEFI SB Signer который выдан ALT Certification
  Authority. Где его взять и как это работает для локальных сборок?

Если смотреть на другие дистрибутивы, то Fedora/RHEL, например, носят базу
сертификатов внутри pesigner -
http://pkgs.fedoraproject.org/cgit/rpms/pesign.git/tree/sources?id=ecaa79e05842e97081d7404d3af15b38ee4e54e3

У нас этой базы нет (или она есть где-то на сборочных серверах ООО?)
поэтому непонятно как реализовать не находясь на сборочном сервере с
нужным роялем в кустах.

Пока у меня получается такой вывод при сборке:
+ install -pDm644 efi/fwupx64.efi /usr/src/tmp/fwupdate-buildroot/usr/lib64/efi/fwupx64.efi
+ '[' x86_64 == x86_64 ']'
++ mktemp pesign-XXXXXXX.efi
+ out=pesign-dugAhye.efi
+ '[' -S /var/run/pesign/socketdir/socket ']'
+ pesign -c 'Red Hat Test Certificate' -i /usr/src/tmp/fwupdate-buildroot/usr/lib64/efi/fwupx64.efi -o pesign-dugAhye.efi -s
Could not initialize nss: The certificate/key database is in an old, unsupported format.
+ :
+ '[' -s pesign-dugAhye.efi ']'
+ '[' -e pesign-dugAhye.efi ']'
+ rm -f pesign-dugAhye.efi
+ echo 'pesign failed'
pesign failed

т.е. pesign не запущен и нужных токенов и ключей по-умолчанию в hasher
нет.

Спасибо!

-- 
WBR et al.

Re: [devel] Q: pesign/UEFI

[Anton Farygin]

23.11.2017 15:07, Konstantin Lepikhov пишет:
> Привет!
>
> А научите, как правильно пользоваться pesign в ALTLinux. С ходу понять это
> невозможно.
<skip>
> Спасибо!
>
Есть некоторая группа товарищей, которая может сделать approve на твой 
таск - в этом случае сборочница подпишет что нужно нашим ключём.


Т.е. - делаешь тестовый таск и просишь approve от тех, кто в группе @pesign

если дали, то при следующем test-only загрузчик будет signed.

Re: [devel] Q: pesign/UEFI

[Konstantin Lepikhov]

Hi Anton!

On 23-11-17, at 03:16:21  you wrote:

> 23.11.2017 15:07, Konstantin Lepikhov пишет:
> > Привет!
> >
> > А научите, как правильно пользоваться pesign в ALTLinux. С ходу понять это
> > невозможно.
> <skip>
> > Спасибо!
> >
> Есть некоторая группа товарищей, которая может сделать approve на твой 
> таск - в этом случае сборочница подпишет что нужно нашим ключём.
> 
> 
> Т.е. - делаешь тестовый таск и просишь approve от тех, кто в группе @pesign
> 
> если дали, то при следующем test-only загрузчик будет signed.
Спасибо еще раз, так и сделаю. Но все-таки, может есть смысл сгенерить
таки тестовые сертификаты для локальных сборок и запаковать их вместе с
pesign, чтобы понимать, что подпись работает как надо?

-- 
WBR et al.

Re: [devel] Q: pesign/UEFI

[Michael Shigorin]

On Thu, Nov 23, 2017 at 01:07:33PM +0100, Konstantin Lepikhov wrote:
> Вот есть такой документ на wiki
> https://en.altlinux.org/UEFI_SecureBoot_mini-HOWTO

Он про реализацию секирбута в дистрибутиве, а не как руководство
майнтейнерам.  Написано по мотивам заметок на манжетах и переписки,
которую разрешили опубликовать (страшно там всё по-цеховому было
в этом плане).

> - Как это работает в hasher?
> - Как у нас подписан grub2? В сизифе я вижу что grub2-efi подписан
>   сертификатом ALT UEFI SB Signer который выдан ALT Certification
>   Authority. Где его взять и как это работает для локальных сборок?

Для локальных он, разумеется, недоступен по условиям UEFI CA.

> Если смотреть на другие дистрибутивы, то Fedora/RHEL, например,
> носят базу сертификатов внутри pesigner -
> http://pkgs.fedoraproject.org/cgit/rpms/pesign.git/tree/sources?id=ecaa79e05842e97081d7404d3af15b38ee4e54e3
> У нас этой базы нет (или она есть где-то на сборочных серверах ООО?)

Этой -- нету, тестовую на серверах держать смысла нет, там боевая.

> поэтому непонятно как реализовать не находясь на сборочном
> сервере с нужным роялем в кустах.

Боюсь, у тебя быстрее получится выяснить по уже опубликованному,
чем мне -- добраться и хотя бы вспомнить.  Дело в том, что на
pesign переезжали уже тогда, когда решили в общих чертах, как это
всё интегрировать в сборочницу (и отчасти как раз по этому) --
а тестовые alt-uefi-certs делались в расчёте на sbsigntool,
см. ранние варианты спека какого-нить shim или refind, точнее
не помню.  Наверное, их можно перегнать в формат для pesign,
просто сделать для pesign новые тестовые должно быть быстрей
и ничем не хуже.

> Пока у меня получается такой вывод при сборке:
[...]
> + '[' -S /var/run/pesign/socketdir/socket ']'

Вот сюда должен быть просунут сокет от серверной стороны pesign.
Как именно делается в girar -- см. gb/remote/gb-remote-pesign,
видимо.  Ещё был причастен rpmrebuild-pesign, как напомнил ls(1).


On Thu, Nov 23, 2017 at 01:56:35PM +0100, Konstantin Lepikhov wrote:
> Но все-таки, может есть смысл сгенерить таки тестовые
> сертификаты для локальных сборок и запаковать их вместе
> с pesign, чтобы понимать, что подпись работает как надо?

[ на этой точке заметил pesign-test-certs ]

PS: если где-нить что-нить задокументируешь -- тоже спасибо.
Просто на ранней стадии этих работ у меня ещё были надежды,
что всякие там свои сертификаты (в работу, не для проверки)
кому-то нужны -- ты будто первый, кто спросил за четыре года
хотя бы о тестовых.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info