Início / unix / Perguntas / 438954
Accepted
Kefka
Asked: 2018-04-21 06:06:56 +0800 CST

Assinando um módulo de kernel compactado para uso com inicialização segura

  • 772

Estou tendo alguns problemas para assinar meu módulo zfs no Fedora 27 usando UEFI/Secure Boot e espero que alguém aqui possa ajudar.

Como uma rápida explicação de como normalmente faria isso, assino o módulo VirtualBox usando chaves que já gerei e registrei no efibootmgr, com o seguinte comando:

# /usr/src/kernels/$(uname -r)/scripts/sign-file sha256 ./key.priv ./key.der $(modinfo -n vboxdrv)

Funciona bem porque o vboxdrv existe como um módulo de kernel comum, e faço a mesma coisa com sucesso para cada atualização do kernel, e o processo é genérico o suficiente para que eu possa fazer a mesma coisa com o zfs. Mas tentar fazer isso falha. Verificando # modinfo -n zfs, vejo que o módulo do kernel zfs parece existir como um arquivo compactado - /lib/modules/4.15.17-300.fc27.x86_64/extra/zfs.ko.xz(e essa é a versão atual correta do kernel).

Para ver se talvez exista outro módulo em outro lugar, eu corro # find / -name zfs.koque não retorna nada, então este arquivo .xz é o único módulo zfs disponível. Tudo bem, então eu corro # xz --decompress zfs.ko.xz. Isso me diz que os dados estão corrompidos (o utilitário xz é o que retorna esse erro, sugerindo que não é um arquivo compactado em xz, ou pelo menos é modificado de alguma forma ou não pode ser tratado pelo xz integrado) .

# modinfo zfsapenas retorna o caminho para zfs.ko.xz e um erro de modinfo.

Portanto, estou perdido neste momento. Desativar a inicialização segura não é realmente uma opção que eu queira considerar. Como devo assinar um módulo compactado se não consigo descompactar o arquivo primeiro? Ou já está assinado com uma chave disponível para mim em algum lugar para download que devo registrar?

fedora zfs

1 respostas

  1. Best Answer

    Você pode descompactar o módulo compactado, assiná-lo e compactá-lo novamente

    unxz zfs.ko.xz
sign-file sha1 "${key}" "${x509}" "zfs.ko"
xz -f zfs.ko

    ou um pouco mais geral (eu uso isso para evdi, inspirado em https://gist.github.com/dop3j0e/2a9e2dddca982c4f679552fc1ebb18df )

    for module in $(dirname $(modinfo -n evdi))/*.ko*; do
  module_basename=${module:0:-3}
  module_suffix=${module: -3}
  if [[ "$module_suffix" == ".xz" ]]; then
          unxz $module
          echo sign-file sha1 "${key}" "${x509}" "${module_basename}"
          sign-file sha1 "${key}" "${x509}" "${module_basename}"
          xz -f ${module_basename}
   elif [[ "$module_suffix" == ".gz" ]]; then
        gunzip $module
        sign-file sha1 "${key}" "${x509}" "${module_basename}"
        gzip -9f $module_basename
   else
        sign-file sha1 "${key}" "${x509}" "${module_basename}"
  fi
done

    depois de correr sudo depmod -a modprobe evdisimplesmente funciona :)

    • 2

relate perguntas