* [sisyphus] I: initial signed UEFI bootloader support
@ 2013-01-09 23:43 Michael Shigorin
2013-01-10 4:51 ` Ildar Mulyukov
2013-01-10 10:29 ` Michael Shigorin
0 siblings, 2 replies; 4+ messages in thread
From: Michael Shigorin @ 2013-01-09 23:43 UTC (permalink / raw)
To: sisyphus
Здравствуйте.
В ночь на сегодня наконец сложились кусочки и получилось
http://ftp.linux.kiev.ua/pub/Linux/ALT/people/mike/iso/mkimage-profiles/half-/20130110/regular-e17-20130110-x86_64.iso
-- по идее, этот образ способен загружаться на UEFI firmware
с неотключенным Secure Boot (aka Restricted Boot).
Если фирмварь предоставляет возможность бэкапа существующих баз
на флэшку, стоит ей воспользоваться.
Перед первой загрузкой собственно ядра потребуется добавить
сгенерированный и опубликованный мной в составе пакета
alt-uefi-keys ключ как Machine Owner Key[!], как описано здесь:
http://www.rodsbooks.com/efi-bootloaders/secureboot.html
(пп. 13--18).
При успешной загрузке первой строчкой будет "Binary is whitelisted"
или "Secure boot not enabled".
[!] поскольку опубликована также и *приватная* часть ключа
(в составе alt-uefi-keys-private), это в принципе может
привести к тому, что когда-то кто-то подпишет этим ключом
зловредный код и убедит вас запустить его как загрузочный;
предложения по организации подписывания загрузчиков
принимаются, текущий "рабочий" вектор -- вслед за федорой
выделить отдельное сборочное окружение и в дальнейшем
обеспечить доступность из него HSM вроде yubikey.
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] I: initial signed UEFI bootloader support
2013-01-09 23:43 [sisyphus] I: initial signed UEFI bootloader support Michael Shigorin
@ 2013-01-10 4:51 ` Ildar Mulyukov
2013-01-10 10:39 ` Michael Shigorin
2013-01-10 10:29 ` Michael Shigorin
1 sibling, 1 reply; 4+ messages in thread
From: Ildar Mulyukov @ 2013-01-10 4:51 UTC (permalink / raw)
To: sisyphus
On 10.01.2013 05:43:40, Michael Shigorin wrote:
> [!] поскольку опубликована также и *приватная* часть ключа
> (в составе alt-uefi-keys-private), это в принципе может
> привести к тому, что когда-то кто-то подпишет этим ключом
> зловредный код и убедит вас запустить его как загрузочный;
Прошу прощения, я не в теме... В этом ключе есть упоминание про
ALTLinux? Если есть, то лучше, наверное, как-то защититься...
--
Ildar
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] I: initial signed UEFI bootloader support
2013-01-09 23:43 [sisyphus] I: initial signed UEFI bootloader support Michael Shigorin
2013-01-10 4:51 ` Ildar Mulyukov
@ 2013-01-10 10:29 ` Michael Shigorin
1 sibling, 0 replies; 4+ messages in thread
From: Michael Shigorin @ 2013-01-10 10:29 UTC (permalink / raw)
To: sisyphus
On Thu, Jan 10, 2013 at 01:43:40AM +0200, I wrote:
> Перед первой загрузкой собственно ядра
Поправочка: подписанного elilo.efi из пакета elilo-signed;
это же касается и других загрузчиков (следом был отправлен
grub-efi-signed, в планах refind), но не shim-signed,
которое на особом положении.
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [sisyphus] I: initial signed UEFI bootloader support
2013-01-10 4:51 ` Ildar Mulyukov
@ 2013-01-10 10:39 ` Michael Shigorin
0 siblings, 0 replies; 4+ messages in thread
From: Michael Shigorin @ 2013-01-10 10:39 UTC (permalink / raw)
To: sisyphus
On Thu, Jan 10, 2013 at 10:51:41AM +0600, Ildar Mulyukov wrote:
> >[!] поскольку опубликована также и *приватная* часть ключа
> > (в составе alt-uefi-keys-private), это в принципе может
> > привести к тому, что когда-то кто-то подпишет этим ключом
> > зловредный код и убедит вас запустить его как загрузочный;
> Прошу прощения, я не в теме... В этом ключе есть упоминание про
> ALTLinux? Если есть, то лучше, наверное, как-то защититься...
Строго говоря, нет; нестрого -- есть про ALT Linux.
Сгенерировать подобное может любой желающий.
--
---- WBR, Michael Shigorin <mike@altlinux.ru>
------ Linux.Kiev http://www.linux.kiev.ua/
^ permalink raw reply [flat|nested] 4+ messages in thread
end of thread, other threads:[~2013-01-10 10:39 UTC | newest]
Thread overview: 4+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2013-01-09 23:43 [sisyphus] I: initial signed UEFI bootloader support Michael Shigorin
2013-01-10 4:51 ` Ildar Mulyukov
2013-01-10 10:39 ` Michael Shigorin
2013-01-10 10:29 ` Michael Shigorin
ALT Linux Sisyphus discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \
sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru
public-inbox-index sisyphus
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sisyphus
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git