4.7. 부트 로더
사전 부팅 단계에서 DEP/NX 지원
DEP(Data Execution Prevention), No Execute (NX) 또는 Execute Disable(XD)이라고 하는 메모리 보호 기능은 실행 불가능으로 표시된 코드 실행을 차단합니다. DEP/NX는 운영 체제 수준에서 RHEL에서 사용할 수 있습니다.
이번 릴리스에서는 GRUB 및 shim 부트 로더에 DEP/NX 지원이 추가되었습니다. 이렇게 하면 DEP/NX 보호 없이 특정 공격을 실행할 수 있는 악의적인 EFI 드라이버와 같이 사전 부팅 단계에서 특정 취약점을 방지할 수 있습니다.
Jira:RHEL-15856[1]
GRUB 및 shim에서 TD CryostatR 측정 지원
Intel® TDX(Intel® TDX)는 TD(신뢰 도메인)라는 하드웨어 격리 VM(가상 머신)을 배포하는 기밀 컴퓨팅 기술입니다.
TDX는 TD VM 게스트와 함께 VMI(Virtual Machine Extensions) 지침 및 MKTME(Multi-key Total Memory Encryption) 기능을 확장합니다. TD 게스트 VM에서 grub2 및 shim 과 같은 부트 체인의 모든 구성 요소는 이벤트 및 측정 해시를 RTMR(time measurement registers)에 로깅해야 합니다.
TD 게스트 런타임 측정은 인증 애플리케이션의 기반입니다. TD 게스트의 애플리케이션은 TD 측정에 의존하여 인증 서비스를 통해 중계 부분의 키와 같은 기밀 정보를 얻을 수 있는 신뢰할 수 있는 증명을 제공합니다.
이번 릴리스에서는 GRUB 및 shim 부트 로더가 TD 측정 프로토콜을 지원합니다.
Intel® TDX에 대한 자세한 내용은 Intel® Trust Domain Extensions 문서를 참조하십시오.
Jira:RHEL-15583[1]
