3.11. 개인 키를 사용하여 커널 모듈 서명

프로세스

1. 공개 키를 sb_cert.cer 파일로 내보냅니다.

   # certutil -d /etc/pki/pesign \
              -n 'Custom Secure Boot key' \
              -Lr \
              > sb_cert.cer

   Copy to Clipboard Toggle word wrap

2. NSS 데이터베이스에서 PKCS #12 파일로 키를 추출합니다.

   # pk12util -o sb_cert.p12 \
              -n 'Custom Secure Boot key' \
              -d /etc/pki/pesign

   Copy to Clipboard Toggle word wrap
3. 이전 명령에서 프롬프트가 표시되면 개인 키를 암호화하는 새 암호를 입력합니다.

4. 암호화되지 않은 개인 키를 내보냅니다.

   # openssl pkcs12 \
            -in sb_cert.p12 \
            -out sb_cert.priv \
            -nocerts \
            -nodes

   Copy to Clipboard Toggle word wrap
   중요

   암호화되지 않은 개인 키를 안전하게 유지합니다.

5. 커널 모듈에 서명합니다. 다음 명령은 커널 모듈 파일의 ELF 이미지에 서명을 직접 추가합니다.

   # /usr/src/kernels/$(uname -r)/scripts/sign-file \
             sha256 \
             sb_cert.priv \
             sb_cert.cer \
             my_module.ko

   Copy to Clipboard Toggle word wrap

검증

1. 커널 모듈 서명에 대한 정보를 표시합니다.

   # modinfo my_module.ko | grep signer
     signer:         Your Name Key

   Copy to Clipboard Toggle word wrap

   서명에 생성 중 입력한 이름이 나열되어 있는지 확인합니다.

   참고

   첨부된 서명은 ELF 이미지 섹션에 포함되지 않으며 ELF 이미지의 공식적인 부분이 아닙니다. 따라서 readelf 와 같은 유틸리티는 커널 모듈에 서명을 표시할 수 없습니다.

2. 모듈을 로드합니다.

   # insmod my_module.ko

   Copy to Clipboard Toggle word wrap

3. 모듈을 제거(load)합니다.

   # modprobe -r my_module.ko

   Copy to Clipboard Toggle word wrap