☰

신뢰할 수 있는 키 목록이 포함된 커널 데이터베이스 목록에 키 쌍(공개 및 개인)을 추가하는 방법

tag-icon • tag-icon kernel kernel-modules
신뢰할 수 있는 키 목록이 포함된 커널 데이터베이스 목록에 키 쌍(공개 및 개인)을 추가하는 방법

Nvidia방금 우분투에 드라이버 설치를 마쳤습니다. Nvidia 설치 프로그램은 키 쌍을 생성하고 이를 사용하여 모듈에 서명합니다. 이제 모듈을 사용하려면 커널의 신뢰할 수 있는 키 목록에 이 키 쌍을 추가해야 한다는 메시지가 나타납니다. 나는 전문적인 Linux 사용자가 아니기 때문에 검색했지만 해결책을 찾을 수 없었습니다.

귀하의 도움에 감사드립니다.

(루분투 16.10 사용)

답변1

여기서 나는 해결책을 찾았습니다.

https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/7/html/System_Administrators_Guide/sect-signing-kernel-modules-for-secure-boot.html

키 쌍이 이미 생성된 경우:

(이 지침은 RedHat용이지만 Lubuntu에서는 잘 작동하며 아마도 Ubuntu에서도 작동할 것입니다.)

MOK(머신 소유자 키) 도구는 UEFI 보안 부팅 키 데이터베이스를 확장하는 데 사용할 수 있는 Red Hat Enterprise Linux 7에서 지원되는 기능입니다. 보안 부팅이 활성화된 UEFI 지원 시스템에서 Red Hat Enterprise Linux 7이 부팅되면 키 데이터베이스의 키 외에 MOK 목록의 키가 시스템 키링에 추가됩니다. MOK 목록 키도 보안 부팅 키 데이터베이스 키와 동일한 방식으로 지속적이고 안전하게 저장되지만 이는 두 가지 별도의 기능입니다. MOK 도구는 shim.efi, MokManager.efi, grubx64.efi 및 Red Hat Enterprise Linux 7 mokutil 유틸리티에서 지원됩니다.

MOK 기능이 제공하는 주요 기능은 KEK 데이터베이스에 이미 있는 다른 키에 키 체인을 반환하지 않고 공개 키를 MOK 목록에 추가하는 기능입니다. 그러나 MOK 키를 등록하려면 각 대상 시스템의 UEFI 시스템 콘솔에서 실제 사용자의 수동 상호 작용이 필요합니다. 그럼에도 불구하고 MOK 도구는 새로 생성된 키 쌍을 테스트하고 해당 키 쌍으로 서명된 커널 모듈을 테스트하는 탁월한 방법을 제공합니다.

MOK 목록에 공개 키를 추가하려면 다음 단계를 따르세요.

  1. Red Hat Enterprise Linux 7 사용자 공간 유틸리티를 사용하여 공개 키를 MOK 목록에 추가하도록 요청하십시오:

    ~]# mokutil --import my_signing_key_pub.der

이 MOK 등록 요청에 대한 비밀번호를 입력하고 확인하라는 메시지가 표시됩니다.

  1. 기계를 다시 시작하십시오.

  2. shim.efi는 보류 중인 MOK 키 등록 요청을 확인하고 MokManager.efi를 시작하여 UEFI 콘솔에서 등록을 완료할 수 있도록 합니다. 이전에 이 요청과 관련된 비밀번호를 입력하고 등록을 확인해야 합니다. 공개 키는 영구적인 MOK 목록에 추가됩니다.

키가 MOK 목록에 있으면 이 부팅과 UEFI 보안 부팅이 활성화된 이후 부팅 시 시스템 키링에 자동으로 전파됩니다.

관련 정보