Ima-evm-utils — различия между версиями

Версия 12:58, 19 ноября 2020

ПОВЫШЕНИЕ БЕЗОПАСНОСТИ С ПОМОЩЬЮ ПОДСИСТЕМЫ ЦЕЛОСТНОСТИ ЯДРА

Integrity Measurement Architecture (IMA) : Архитектура проверки целостности

Extended Verification Module (EVM) : Расширенный модуль проверки

Настройка IMA и EVM позволяет подписывать файлы при помощи ЭЦП и повышать безопасность операционной системы.

1. Установка необходимых пакетов:

sudo yum install ima-evm-utils keyutils openssl

Внести изменения в файл /etc/fstab выставив параметр iversion на всех записях в файле /etc/fstab относящихся к местам, где могут быть исполняемые файлы:

vi /etc/fstab

#
# /etc/fstab
# Created by anaconda on Wed Nov 11 15:19:25 2020
#
# Accessible filesystems, by reference, are maintained under '/dev/disk'
# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info
#
/dev/mapper/alteros-root /                       ext4    defaults,iversion        1 1
UUID=48c0bccf-fa73-4a6b-8476-e89737b2fd4d /boot                   ext4    defaults        1 2
/dev/mapper/alteros-swap swap                    swap    defaults        0 0

Выполнить команды создания каталога и монтирования

mkdir /sys/kernel/security
mount -t securityfs securityfs /sys/kernel/security  

sudo grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="ima_appraise=fix ima_appraise_tcb evm=fix"
sudo reboot

1. Создание новой ключевой пары для EVM

evm_kr_id=$(keyctl newring _evm @u)

Команда создает связку ключей _evm и присоединяет ее к связке ключей пользователя системы @u. Затем идентификатор брелока _evm присваивается переменной evm_kr_id для более удобного обращения в будущем

1. Генерация ключей

sudo mkdir -p /etc/keys

1. Включение модуля и генерация мастер-ключа

sudo modprobe trusted encrypted
sudo keyctl add trusted kmk-trusted "new 32" @u