22.5. 启用 IMA 和 EVM

流程

1. 在 修复 模式下为当前引导条目启用 IMA 和 EVM，并通过添加以下内核命令行参数来允许用户收集和更新 IMA 测量：

   # grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_policy=appraise_tcb ima_appraise=fix evm=fix"

   该命令在 fix 模式下为当前引导条目启用 IMA 和 EVM，并允许用户收集和更新 IMA 测量。

   ima_policy=appraise_tcb 内核命令行参数确保内核使用默认的可信计算基础(TCB)测量策略和评估步骤。评估步骤禁止访问之前和当前测量结果不匹配的文件。

2. 重启以使更改生效。

3. 可选：验证参数是否已添加到内核命令行中：

   # cat /proc/cmdline
   BOOT_IMAGE=(hd0,msdos1)/vmlinuz-5.14.0-1.el9.x86_64 root=/dev/mapper/rhel-root ro crashkernel=1G-4G:192M,4G-64G:256M,64G-:512M resume=/dev/mapper/rhel-swap rd.lvm.lv=rhel/root rd.lvm.lv=rhel/swap rhgb quiet ima_policy=appraise_tcb ima_appraise=fix evm=fix

4. 创建一个内核主密钥来保护 EVM 密钥：

   # keyctl add user kmk "$(dd if=/dev/urandom bs=1 count=32 2> /dev/null)" @u
   748544121

   kmk 完全保留在内核空间内存中。kmk 的 32 字节长值是从 /dev/urandom 文件中的随机字节生成的，并放在用户(@u)密钥环中。密钥序列号位于前面输出的第一行。

5. 根据 kmk 创建加密的 EVM 密钥：

   # keyctl add encrypted evm-key "new user:kmk 64" @u
   641780271

   命令使用 kmk 生成并加密 64 字节长用户密钥（名为 evm-key），并将其放在用户(@u)密钥环中。密钥序列号位于前面输出的第一行。

   重要

   用户密钥必须命名为 evm-key，因为它是 EVM 子系统预期使用的且正在使用的名称。

6. 为导出的密钥创建一个目录。

   # mkdir -p /etc/keys/

7. 搜索 kmk ，并将其未加密的值导出到新目录中。

   # keyctl pipe $(keyctl search @u user kmk) > /etc/keys/kmk

8. 搜索 evm-key ，并将其加密值导出到新目录中。

   # keyctl pipe $(keyctl search @u encrypted evm-key) > /etc/keys/evm-key

   evm-key 已在早期由内核主密钥加密。

9. 可选：查看新创建的密钥。

   # keyctl show
   Session Keyring
   974575405   --alswrv     0        0      keyring: ses 299489774 --alswrv 0 65534 \ keyring: uid.0 748544121 --alswrv 0 0 \ user: kmk
   641780271   --alswrv     0        0           \_ encrypted: evm-key
   
   # ls -l /etc/keys/
   total 8
   -rw-r--r--. 1 root root 246 Jun 24 12:44 evm-key
   -rw-r--r--. 1 root root  32 Jun 24 12:43 kmk

10. 可选：如果密钥已从密钥环中删除，例如在系统重启后，您可以导入已导出的 kmk 和 evm-key，而不是创建新密钥。

    1. 导入 kmk。

       # keyctl add user kmk "$(cat /etc/keys/kmk)" @u
       451342217

    2. 导入 evm-key。

       # keyctl add encrypted evm-key "load $(cat /etc/keys/evm-key)" @u
       924537557

11. 激活 EVM。

    # echo 1 > /sys/kernel/security/evm

12. 重新标记整个系统。

    # find / -fstype xfs -type f -uid 0 -exec head -n 1 '{}' >/dev/null \;

    警告

    在不重新标记系统的情况下启用 IMA 和 EVM 可能会导致系统上的大多数文件无法访问。