3.11. 使用私钥签名内核模块

流程

1. 将您的公钥导出到 sb_cert.cer 文件中：

   # certutil -d /etc/pki/pesign \
              -n 'Custom Secure Boot key' \
              -Lr \
              > sb_cert.cer

   Copy to Clipboard Toggle word wrap

2. 从 NSS 数据库中提取密钥作为 PKCS #12 文件：

   # pk12util -o sb_cert.p12 \
              -n 'Custom Secure Boot key' \
              -d /etc/pki/pesign

   Copy to Clipboard Toggle word wrap
3. 当上一命令提示时，输入加密私钥的新密码。

4. 导出未加密的私钥：

   # openssl pkcs12 \
            -in sb_cert.p12 \
            -out sb_cert.priv \
            -nocerts \
            -nodes

   Copy to Clipboard Toggle word wrap
   重要

   保持未加密的私钥的安全。

5. 为内核模块签名。以下命令将签名直接附加到内核模块文件中的 ELF 镜像中：

   # /usr/src/kernels/$(uname -r)/scripts/sign-file \
             sha256 \
             sb_cert.priv \
             sb_cert.cer \
             my_module.ko

   Copy to Clipboard Toggle word wrap

验证

1. 显示关于内核模块签名的信息：

   # modinfo my_module.ko | grep signer
     signer:         Your Name Key

   Copy to Clipboard Toggle word wrap

   检查签名中是否列出了您在生成过程中输入的名称。

   注意

   附加的签名不包含在 ELF 镜像部分，不是 ELF 镜像的一个正式部分。因此，readelf 等工具无法在内核模块上显示签名。

2. 载入模块：

   # insmod my_module.ko

   Copy to Clipboard Toggle word wrap

3. 删除（未加载）模块：

   # modprobe -r my_module.ko

   Copy to Clipboard Toggle word wrap