Weishan Yang's questions

我想将用于签署内核模块的密钥对中的公钥添加到 system_keyring 中。但是，有一个问题：

使用 的命令cat /proc/keys | grep system_keyring，我得到了 system_keyring 的条目（ID）。但是，当尝试使用以下命令添加我的公钥时：keyctl padd asymmetric "" 0xXXXXXXXX</test/signing_key.x509，我遇到了“权限被拒绝”错误。

我认为这是由于“module_signing.txt” https://01.org/linuxgraphics/gfx-docs/drm/admin-guide/module-signing.html中描述的限制：

但是请注意，如果新密钥的 X.509 包装器由在添加密钥时已驻留在 .system_keyring 中的密钥有效签名，则内核将只允许将密钥添加到 .system_keyring。

但是，我找不到任何文档来描述如何使用已驻留在 .system_keyring 中的密钥对“X.509 包装器”进行签名。

另外，我认为该密钥环中的密钥只是公钥。所以，我什至认为它不会起作用，即使我可以从密钥环中提取公钥并用该公钥签署“X.509 包装器”。

无论如何，这里需要一些帮助。或者，即使有些东西可以给我提示如何将我的内核模块提交给 RedHat，以便它可以由 RedHat 签名并在用户安装时安装而无需重建内核？

在最近的 RHEL7.5 之前，我们有一个为 RedHat 系列 Linux 发行版构建的内核模块。

尝试在 RHEL7.5 上构建时，我们遇到以下错误：

...错误：未声明“GENL_ID_GENERATE”...

做了一些阅读，这似乎是自内核 4.11+ 以来的一个变化，但 RHEL7.5 基于内核 3.10+。发生了什么？

反正我知道GENL_ID_GENERATE的值就是0。但是我可以用0来代替宏吗？用户模式模块与这个内核模块通信会不会有问题？

或者，解决问题的正确方法应该是什么？有什么建议吗？

谢谢和问候， 微山

至于“Spectre”安全漏洞，引入了“Retpoline”作为降低风险的解决方案。但是，我读过一篇文章，其中提到：

如果您在没有 的情况下构建内核CONFIG_RETPOLINE，则无法使用 retpoline 构建模块然后期望它们加载——因为不会导出 thunk 符号。

但是，如果您使用 retpoline 构建内核，则可以成功加载未使用 retpoline 构建的模块。（来源）

是否有一种简单且通用/通用/统一的方法来检查内核是否启用了“Retpoline”？我想这样做，以便我的安装程序可以使用正确构建的内核模块进行安装。