3.12. Firma de módulos del kernel para el arranque seguro

Procedimiento

1. Crear un archivo de configuración con parámetros para la generación de pares de claves:

   # cat << EOF > configuration_file.config
   [ req ]
   default_bits = 4096
   distinguished_name = req_distinguished_name
   prompt = no
   string_mask = utf8only
   x509_extensions = myexts
   
   [ req_distinguished_name ]
   O = Organization
   CN = Organization signing key
   emailAddress = E-mail address
   
   [ myexts ]
   basicConstraints=critical,CA:FALSE
   keyUsage=digitalSignature
   subjectKeyIdentifier=hash
   authorityKeyIdentifier=keyid
   EOF

   Copy to Clipboard Toggle word wrap

2. Cree un par de claves públicas y privadas X.509 como se muestra en el siguiente ejemplo:

   # openssl req -x509 -new -nodes -utf8 -sha256 -days 36500 \
   -batch -config configuration_file.config -outform DER \
   -out my_signing_key_pub.der \
   -keyout my_signing_key.priv

   Copy to Clipboard Toggle word wrap

   La clave pública se escribirá en el archivo my_signing_key_pub.der y la clave privada se escribirá en el archivo my_signing_key.priv archivo.

   Importante

   En RHEL 8, las fechas de validez del par de claves son importantes. La clave no caduca, pero el módulo del núcleo debe ser firmado dentro del período de validez de su clave de firma. Por ejemplo, una clave que sólo es válida en 2019 puede utilizarse para autenticar un módulo del núcleo firmado en 2019 con esa clave. Sin embargo, los usuarios no pueden utilizar esa clave para firmar un módulo del núcleo en 2020.

3. Opcionalmente, puede revisar las fechas de validez de sus claves públicas como en el ejemplo siguiente:

   # openssl x509 -inform der -text -noout -in <my_signing_key_pub.der>
   
   Validity
               Not Before: Feb 14 16:34:37 2019 GMT
               Not After : Feb 11 16:34:37 2029 GMT

   Copy to Clipboard Toggle word wrap
4. Registre su clave pública en todos los sistemas en los que desee autenticarse y cargue su módulo del kernel.