Dotaz: Vyjasnějí podepisování jádra a secure boot

[technik]

Ahoj,

po přečtení několika článků o různých možnostech implementace secure boot v Linuxu v tom mám trochu zmatek. Bez ohledu na to, že secure boot je docela prasárna a že TPM by mohlo poskytovat podobné zabezpečení (ačkoliv se dá dobře použít i při skrývání malwaru) ... JAK vlastně to funguje?

Jak jsem to pochopil:

1. EFI načte předzavaděč (většinou asi shim), který je podepsaný Microsoftem
2. shim uloží hash? nebo certifikát do úložiště v základní desce (tato fáze je asi dělaná při instalaci Linuxu)
3. shim načte grub loader, pokud je podepsaný klíčem uloženým v předchozím bodě
4. grub MŮŽE kontrolovat, zda je jádro podepsané klíčem viz. bod 2 (na toto je potřeba opatchovaný grub, který používá shim) ... nicméně je pravda, že tady už se nic kontrolovat teoreticky nemusí?
5. od této chvíle už se secure boot procedura "nepoužívá", jádro může kontrolovat podepisování modulů, které ale nijak nesouvisí s předchozími body

Pochopil jsem to správně? Pokud ano, co mi brání obejít secure boot, pokud v 2. bodě můžu uložit klíče, jaké chci? Dále je možné si kompilovat vlastní nepodepsané jádro a nějak nastavit grub, aby to nehlídal?

Odpovědi

[NN]

Relk bych, ze je to trochu jinak:

1. Shim nemusi byt podepsany od MS klicem, ale podepsany byt musi.

2. Klic/cert je ulozeny v NVRAM predem pri uprave UEFI pro linux.

3. Ano.

4. Ano.

5. Ano.

Nejedna se o obchazeni, ale vlastnost. Muzes si nahrat vlastni klic, pouzivat klic on Canonica atp. Podepsani jadra neni podminka, takze muzes.