Themenersteller
#1
mokutil ile Secure Boot Anahtarları
Giriş ve bağlam
Secure Boot, sistem açılışında yazılımın güvenliğini doğrulamak amacıyla büyük ölçüde yüklenen imza politikalarını uygular. Özellikle Linux tabanlı makinelerde, sertifika zincirinin ve MOK (Machine Owner Key) listesinin doğru yönetilmesi kritik olur. mokutil, bu yönetimi kullanıcı alanında gerçekleştirmek için tasarlanmış bir araçtır ve özellikle şu ana işlevleri kolaylaştırır: mevcut Secure Boot durumunu kontrol etmek, yeni MOK anahtarları eklemek ve eksik olan anahtarları güvenli biçimde güvenlik modunda kaydettirmek.
Temel kavramlar
Pratik adımlar (basit bir senaryo)
Güvenlik notları ve tavsiyeler
Sonuç ve kapanış
Secure Boot anahtarlarının yönetimi, sistemin açılış güvenliğini sürdürmenin temel parçalarından biridir. Mokutil, bu işlemleri kullanıcı düzeyinde güvenli ve izlenebilir bir şekilde yürütmeyi sağlar. Bu süreçte hangi senaryolarda hangi adımların daha kritik olduğunu kendi kurulumlarınızda test etmek, güvenlik politikalarınızı netleştirmek açısından değerlidir. Yeni anahtar ekleme veya mevcut anahtarları değiştirme deneyimlerinizi, kullanılan dağıtım ve sürüm farklılıklarını da belirterek paylaşabilirsiniz.
Giriş ve bağlam
Secure Boot, sistem açılışında yazılımın güvenliğini doğrulamak amacıyla büyük ölçüde yüklenen imza politikalarını uygular. Özellikle Linux tabanlı makinelerde, sertifika zincirinin ve MOK (Machine Owner Key) listesinin doğru yönetilmesi kritik olur. mokutil, bu yönetimi kullanıcı alanında gerçekleştirmek için tasarlanmış bir araçtır ve özellikle şu ana işlevleri kolaylaştırır: mevcut Secure Boot durumunu kontrol etmek, yeni MOK anahtarları eklemek ve eksik olan anahtarları güvenli biçimde güvenlik modunda kaydettirmek.
Temel kavramlar
- Secure Boot durumunu kontrol etme: Sistemin hangi modda çalıştığını ve mevcut imza politikalarını gözden geçirme. Genelde cat /sys/firmware/efi/efivars/DB veya mokutil --sb-state komutları ile hızlı bir bakış elde edilebilir.
- MOK nedir: MOK, kullanıcının sahip olduğu özel anahtarları içeren bir anahtar tablosudur ve çekirdek sürücülerinin veya çekirdek modüllerinin güvenli imza doğrulamasını genişletmek için kullanılabilir.
- Anahtar ekleme süreci: Mokutil ile yeni anahtar eklerken, sistem başlangıçta bir müdahale gerektirebilir; genellikle reboot sonrası bir "Enroll MOK" arayüzü üzerinden onaylanır.
Pratik adımlar (basit bir senaryo)
- Durum kontrolü: mokutil --sb-state komutu ile Secure Boot’un açık mı kapalı mı olduğunu belirleyin. Eğer açık ise, mevcut DB ve PK konumlarını incelemek için ilgili EFI değişkenlerini kontrol edin.
- Yeni anahtar ekleme: mokutil --import /path/to/your_public_key.der komutu ile bir MOK dosyasını içeri aktarın. Dosyayı DER formatında sunmak tercih edilir; PEM ise dönüştürülebilir.
- Enroll işlemi: Sistem yeniden başlatılır ve "Enroll MOK" arayüzü üzerinden adımlar izlenir. Burada arkadaşlarınızdan farklı olarak, güvenilir bir imza ile anahtarın doğrulandığından emin olun.
- Doğrulama: Yeniden önyüklemeden sonra mokutil --sb-state ile durum kontrolünü tekrarlayın ve mokutil --list_last_enrolled komutu ile son eklenen anahtarları teyit edin.
Güvenlik notları ve tavsiyeler
- Anahtarları güvenli kaynaktan alın: kendi imzalarınızı oluşturabileceğiniz gibi güvenilir üçüncü taraf sertifikalarını da kullanabilirsiniz.
- Yanlış imza ile engellenmiş modüller riski: Doğrulanamayan modüller yüklemeyi engeller; bu nedenle anahtar yönetimini titizlikle yapmak gerekir.
- Yedek planı: EFI Flash üzerinde yapılan değişiklikler sistemi etkileyebilir; müdahale öncesi geri dönüş planı ve uygun yedekler bulundurulmalıdır.
Sonuç ve kapanış
Secure Boot anahtarlarının yönetimi, sistemin açılış güvenliğini sürdürmenin temel parçalarından biridir. Mokutil, bu işlemleri kullanıcı düzeyinde güvenli ve izlenebilir bir şekilde yürütmeyi sağlar. Bu süreçte hangi senaryolarda hangi adımların daha kritik olduğunu kendi kurulumlarınızda test etmek, güvenlik politikalarınızı netleştirmek açısından değerlidir. Yeni anahtar ekleme veya mevcut anahtarları değiştirme deneyimlerinizi, kullanılan dağıtım ve sürüm farklılıklarını da belirterek paylaşabilirsiniz.
