Bezpečné načítanie systému

Funkcia AIX Bezpečné načítanie systému slúži na overenie autenticity procesu načítania systému.

Technológiu bezpečného načítania systému môžete použiť na overenie integrity firmvéru PowerVM, vrátane firmérov hostboot, POWER Hypervisor (PHYP) a PFW (firmvér oddielu) prostredníctvom digitálneho podpisu v systémoch POWER9 alebo novších a v systémoch PowerVM. Keď používate funkciu Bezpečné načítanie systému, môžete dôverovať firmvéru, ktorý sa spúšťa na procesore POWER9.

Funkcia Bezpečné načítanie systému v AIX rozširuje reťazec dôveryhodnosti na logický oddiel AIX (LPAR) digitálnym overovaním nasledujúcich kódov AIX a PFW:

zavádzač načítania operačného systému,
jadro,
prostredie pre beh programu,
ovládače zariadení, vrátane ovládačov zavádzacieho zariadenia,
rozšírenia jadra,
aplikácie,
knižnice.

Zavádzací obraz AIX je vylepšený tak, aby obsahoval digitálne podpisy zavádzača načítania systému a jadra. Vylepšenie zavádzača načítania systému umožňuje, aby firmvér PFW overil digitálne podpisy. Firmvér PWF navyše overí digitálny podpis kódu zavedenia, ktorý je súčasťou mikrokódu adaptéra. Ak kód zavedenia systému v adaptéri neobsahuje platný digitálny podpis, nemôže byť tento adaptér použitý ako zavádzacie zariadenie pre dôveryhodný LPAR. Zavádzač načítania systému overí digitálny podpis jadra. Funkcia Bezpečné načítanie systému v AIX využíva technológiu Trusted Execution, ktorá sa spolieha na databázu dôveryhodných podpisov (TSD). V databáze TSD sú uložené ovládače zariadení, binárne súbory aplikácií a ďalšie kódy AIX. Funkcia Bezpečné načítanie systému skontroluje integritu zavedenia a inicializačných kódov do konca súboru inittab.

Funkcia Bezpečné načítanie systému zahŕňa nasledujúce vylepšenia:

Funkcia Bezpečné načítanie systému začne overovať integritu kódu skôr než funkcia Trusted Execution. Keď je funkcia Bezpečné načítanie systému zapnutá, načíta sa databáza TSD skôr v procese zavedenia. Databáza TSD sa načíta ešte predtým, než jadro načíta prvú aplikáciu.
Funkcia Bezpečné načítanie systému skontroluje digitálne podpisy kódov, ktoré je potrebné spustiť. Funkcia Trusted Execution počas vykonávania overí šifrovacie hodnoty hash zavedenia a inicializačné kódy.

Konfiguráciu funkcie Bezpečné načítanie systému je možné vykonať prostredníctvom riadiacej konzoly. Konzola HMC v súčasnosti podporuje túto funkciu. Operačný systém AIX podporuje nasledujúce základné nastavenia bezpečného načítania systému:

0. Bezpečné načítanie systému zakázané
1. Povolené (alebo len protokoly)
2. Vynútiť (ak zlyhá overenie podpisu, prerušiť operáciu zavedenia)
3. Vynútiť politiky 2 a nenačítať žiadne programy a knižnice, ktoré sa nenájdu v TSD. Taktiež zakázať oprávnenie na zápis do zariadení /dev/*mem.
4. Vynútiť politiku 3 a zakázať ladiaci program jadra (KDB)

Ak sa počas operácie načítania systému v režime Audit nepodarí overiť integritu ktoréhokoľvek súboru, pokračuje logický oddiel v zavádzaní. Správca systému však po zavedení LPAR môže prešetriť chyby zaznamenané v protokole /var/adm/ras/securebootlog. Ak overenie digitálneho podpisu súborov zlyhá počas zavádzania v režime Vynútiť, proces zavádzania sa preruší a v konzole HMC sa zobrazí stav LPAR s nasledujúcim kódom LED:

0x328

Ďalšie schopnosti ladenia môžete vypnúť na vyššej úrovni politiky funkcie Bezpečné načítanie systému v AIX.

Odporúča sa najprv povoliť politiku Audit. Po nastavení a správnom spustení systému môžete funkciu prepnúť na rozšírenú politiky. V súčasnom vydaní sú podporované len objekty podpísané spoločnosťou IBM.

Ak chcete vypísať zoznam politík bezpečného načítanie systému z LPAR, zadajte nasledujúci príkaz:

lsattr -E -l sys0 -a secure_boot

Funkcie Bezpečné načítanie systému a Trusted Execution sa majú navzájom dopĺňať. Funkcia Bezpečné načítanie systému v AIX sa stará o proces zavedenia, zatiaľ čo funkcia Trusted Execution beží v prostredí runtime. Použitím oboch funkcií môžete maximalizovať bezpečnosť operačného systému.

Riešenie problémov a zlyhaní Bezpečného načítania systému

Ak je logický oddiel zavádzaný s možnosťou politiky 2, 3 alebo 4 a počas zavádzania zlyhá overenie podpisu, logický oddiel sa zastaví. Ak chcete v tomto scenári riešiť problém zlyhania, môžete reštartovať systém s možnosťou bezpečného načítania systému 1 a potom si pozrieť protokoly v adresári /var/adm/ras/securebootlog.

Ak je logický oddiel zavádzaný s možnosťou politiky 2, 3 alebo 4, nenačítajú sa žiadne binárne podpisy, ktoré neboli dostupné v čase zavádzania. Binárne súbory v tomto scenári, ako napríklad démony RSCT, musia byť po zavedení spustené manuálne.