3.11. 개인 키로 커널 모듈 서명

절차

1. 공개 키를 sb_cert.cer 파일로 내보냅니다.

   # certutil -d /etc/pki/pesign \
              -n 'Custom Secure Boot key' \
              -Lr \
              > sb_cert.cer

2. NSS 데이터베이스에서 PKCS #12 파일로 키를 추출합니다.

   # pk12util -o sb_cert.p12 \
              -n 'Custom Secure Boot key' \
              -d /etc/pki/pesign

3. 이전 명령을 실행하면 개인 키를 암호화하는 새 암호를 입력합니다.

4. 암호화되지 않은 개인 키를 내보냅니다.

   # openssl pkcs12 \
            -in sb_cert.p12 \
            -out sb_cert.priv \
            -nocerts \
            -nodes

   중요

   암호화되지 않은 개인 키를 처리합니다.

5. 커널 모듈에 서명합니다. 다음 명령은 커널 모듈 파일의 ELF 이미지에 서명을 직접 추가합니다.

   # /usr/src/kernels/$(uname -r)/scripts/sign-file \
             sha256 \
             sb_cert.priv \
             sb_cert.cer \
             my_module.ko

검증

1. 커널 모듈 서명에 대한 정보를 표시합니다.

   # modinfo my_module.ko | grep signer
     signer:         Your Name Key

   서명에 생성 중 입력한 이름이 나열되어 있는지 확인합니다.

   참고

   첨부된 서명은 ELF 이미지 섹션에 포함되지 않으며 ELF 이미지의 공식적인 일부가 아닙니다. 따라서 readelf 와 같은 유틸리티에서는 커널 모듈에 서명을 표시할 수 없습니다.

2. 모듈을 로드합니다.

   # insmod my_module.ko

3. 모듈을 제거(미로드)합니다.

   # modprobe -r my_module.ko