עדכוני אישור אתחול מאובטח עבור Linux במחשבי Azure וירטואליים

במאמר זה

• מבוא

• זיהוי תרחישים המחייבים פעולה

• שיקולים לגבי מחשבים וירטואליים אורחים של Azure

  • פעולות נדרשות

    • עבור כל המחשבים הווירטואליים של אורח Azure

      • שיטות אימות
      • עדכון שרשרת אתחול של Linux
      • שיקולים אחרים לגבי משאבים ב- Azure
      • ניטור מצב העדכון

    • עבור מחשבים וירטואליים בהפעלה מהימנה

    • עבור מחשבים וירטואליים סודיים

  • פריסת עדכונים

    • המלצות מספקי מערכות הפעלה של Linux
    • המלצות של Azure למחשבים וירטואליים סודיים

  • שיטות חלופיות לעדכון קושחה

    • חלופה 1: שימוש ב- fwupd
    • חלופה 2: שימוש ב- efitools
    • חלופה 3: שימוש ב- sbsigntools

• שלבי צמצום סיכונים במקרה של כשלי אתחול

• דוח שינויים

מבוא

אתחול מאובטח הוא תכונת אבטחת קושחה של UEFI המסייעת להבטיח שרק תוכנה מהימנה עם חתימה דיגיטלית תפעל במהלך רצף האתחול של VM. תוקפם של אישורי אתחול מאובטח של Microsoft שהונפקו בשנת 2011 יפוג ביוני 2026.

כדי לשמור על הגנת אתחול מאובטח והמשך שירות לתהליך האתחול המוקדם, יש לעדכן Azure הפעלה מהימנה שפועלת Linux עם אישורי DB ו- KEK של אתחול מאובטח 2023 בקושחת UEFI וירטואלית. יש ליצור מחדש מחשבים וירטואליים סודיים עבור Linux ב- Azure עם אישורים ישנים.

אם מחשב וירטואלי ממשיך להסתמך על אישורי 2011 לאחר תפוגתו, הוא ימשיך לאתחול. עם זאת, הוא לא יקבל עוד הגנות אבטחה חדשות בצורה של עדכוני Shim ואישורים וביטולים עתידיים. לקוחות עם מחשבים וירטואליים שאין להם אישורים מעודכנים צריכים להמשיך לעבוד עם ספקי ההפצה שלהם כדי לעדכן את האישורים שלהם גם לאחר תאריך התפוגה.

זיהוי תרחישים המחייבים פעולה

סקור את התרחישים הבאים כדי לקבוע אם נדרשת פעולה:

• Linux מחשבים וירטואליים (TVM) או מחשבים וירטואליים סודיים (CVM) שנוצרו לפני אפריל 2024
• תמונות של גלריית המחשוב של Azure שנלכדו ממחשבים וירטואליים ישנים יותר (לפני אפריל 2024) של Linux Trusted Launch או ממחשבים וירטואליים סודיים
• תמונות או גיבויים של הפעלה מהימנה של Linux או מחשבים וירטואליים סודיים שנוצרו לפני אפריל 2024
• מחשבים וירטואליים סודיים שנוצרו לפני אפריל 2024 מרכיבי Blob, שיובאו כדיסק מאובטח.

הפעלה מהימנה ומחשבים וירטואליים סודיים שנוצרו לאחר אפריל 2024 בדרך כלל כבר כוללים אישורי אתחול מאובטח 2023 בקושחת UEFI וירטואלית.

שיקולים לגבי מחשבים וירטואליים אורחים של Azure

עדכוני אתחול מאובטח עבור Linux במחשבים וירטואליים Azure כוללים שני רכיבים:

• אישורי אתחול מאובטח בקושחה וירטואלית (מותקן באופן ידני באמצעות כלים שסופקו על ידי מערכת ההפעלה או באופן אוטומטי באמצעות עדכוני אבטחה)
• עדכוני shim ו-bootloader של Linux (ספק הפצה מנוהל)

פעולות העדכון מופעלות מתוך מערכת ההפעלה האורחת ומסתמכות על תמיכת פלטפורמה כדי להחיל עדכונים מאומתים על משתני אתחול מאובטח.

לאחר זיהוי תרחישים ישימים, צור מלאי בסביבה שלך כדי לקבוע אילו מחשבים וירטואליים דורשים עדכונים.

פעולות נדרשות

עבור כל המחשבים הווירטואליים האורחים של Azure:

• בדוק אם אישורי אתחול מאובטח 2023 קיימים בקושחת UEFI וירטואלית

שיטות אימות

הפעל את הפקודות הבאות לאחר העדכון והאתחול מחדש. ב- VM שעודכן בהצלחה , כל פקודה מחזירה שורה תואמת. אם פקודה אינה מחזירה פלט, אישור 2023 המתאים אינו קיים והעדכון לא הוחל—בדוק שוב את שלבי העדכון לפני החלה.

גם המחאות ה- DB וגם המחאות ה- KEK חייבות להחזיר שורה. מכונה שעודכנה בהצלחה מציגה את אישור DB של 2023 ואת אישור KEK של 2023.

שימוש ב- mokutil

mokutil --db | grep "UEFI CA 2023"
CN = Microsoft UEFI CA 2023
mokutil --kek | grep "KEK 2K CA 2023"
CN = Microsoft Corporation KEK 2K CA 2023

שימוש ב- efitools

efi-readvar -v db | grep "UEFI CA 2023"
Microsoft UEFI CA 2023
efi-readvar -v KEK | grep "KEK 2K CA 2023"
Microsoft Corporation KEK 2K CA 2023

עדכון שרשרת אתחול של Linux

לאחר עדכון הקושחה המוצלח, ניתן להחיל עדכוני Shim מספקי ההפצה של Linux.

שיקולים אחרים בנושא משאבים של Azure

משאב Azure	נוצר לפני אפריל 2024	נדרשת פעולה עבור TVM	נדרשת פעולה עבור CVM
גיבוי/תמונת מצב	כן	אתחול VM, החלת עדכונים, לכידה מחדש	יצירה מחדש של ה-CVM, לכידה מחדש
גיבוי/תמונת מצב	לא	לא נדרשת פעולה	לא נדרשת פעולה
תמונה של גלריית חישוב	כן	פריסה, עדכון, לכידה מחדש	יצירה מחדש של ה-CVM, לכידה מחדש
תמונה של גלריית חישוב	לא	לא נדרשת פעולה	לא נדרשת פעולה

ניטור מצב העדכון

אמת עדכונים באמצעות מערכת ההפעלה האורחת:

• אמת אתחול מוצלח לאחר עדכונים
• ודא שאישורי אתחול מאובטח קיימים בקושחה

גישות הניטור והאימות עשויות להשתנות בהתאם להפצת Linux, ועליך לבדוק זאת עם ספק ההפצה שלך.

עבור מחשבים וירטואליים בהפעלה מהימנה:

• יש להחיל את כל העדכונים בסדר הנכון.

  חשוב

  עדכן תמיד את קושחת האתחול המאובטח (משתני UEFI) לפני עדכון shim או Bootloader.

• מומלץ להפעיל מחדש תחילה את המחשב הווירטואלי כדי לוודא שהוא מפעיל את הקושחה העדכנית ביותר ולוודא אתחול מוצלח.

• הפעל עדכונים מתוך מערכת ההפעלה הווירטואלית האורחת של Linux במידת הצורך בהתאם להנחיות ולכלים המומלצים של ספק ההפצה שלך.

• אם אתה נתקל בכשלים בעדכון KEK או DB ולא אתחלת תחילה, אתחל מחדש את ה- VM כדי לוודא שהוא מפעיל את הקושחה העדכנית ביותר ונסה לעדכן שוב את ה- KEK ו- DB.

• עדכון ה-shim לפני עדכון הקושחה תחילה עלול לגרום לכשל באתחול.

עבור מחשבים וירטואליים חסויים:

• לרוב המחשבים הווירטואליים הסודיים כבר יש את האישורים החדשים. עבור מחשבים וירטואליים סודיים ללא אישורי אתחול מאובטח 2023, בצע את ההנחיות להלן בסעיף, המלצות של Azure עבור מחשבים וירטואליים סודיים.

פריסת עדכונים

עדכוני אישור אתחול מאובטח עבור Linux במחשבים וירטואליים Azure מופעלים מתוך מערכת ההפעלה האורחת. עדכונים אלה משתנים לפי ספקי הפצה, והלקוחות צריכים לבדוק תחילה עם ספק ההפצה שלהם את השיטה המומלצת.

המלצות מספקי מערכות הפעלה מאושרות של Linux:

• Azure Linux (CBL-Mariner) - עבור ל Azure Linux 3 או לגירסה חדשה יותר

• AlmaLinux - אתחול מאובטח של UEFI: Microsoft 2023 Certificate Transition Wiki

• Debian - Secure Boot CA Changes Wiki

• Red Hat (RHEL) - כיצד להשתמש ב- fwupd כדי לרשום את אישור Microsoft UEFI CA 2023 KB

• SUSE - שינויי אישור אתחול מאובטח של Microsoft ל- KB

• Ubuntu - Microsoft UEFI CA סיבוב שיח בקהילה

המלצות של Azure למחשבים וירטואליים סודיים:

• מספר ה-CVM שנוצרו לפני אפריל 2024 נמוך מאוד. אם ה- VM הסודי שלך הוא אחד הבודדים שאין להם את האישורים החדשים, בצע את השלבים כדי ליצור מחדש את ה- CVM.

שיטות חלופיות לעדכון קושחה

חלופה 1: שימוש ב- fwupd

ודא שמותקנת במחשב הווירטואלי גרסה 2.0.8 ואילך.

כדי לעדכן גם את KEK וגם את DB, הפעל פקודות אלה עם fwupdmgr:

sudo fwupdmgr refresh
sudo fwupdmgr update

חלופה 2: שימוש ב- efitools

• הורד חבילות עדכון של DB ו- KEK עבור Azure.

wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin

wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin

• אמת את MD5 או SHA1 של הקבצים הבינאריים שהורדו - הם אמורים להתאים בדיוק לנתונים הבאים:

sha1sum *.bin
87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin
d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin

md5sum *.bin
ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin
5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin

• השתמש ב- efi-updatevar כדי להתקין את חבילות העדכון

sudo efi-updatevar -a -f DBUpdate3P2023.bin db
sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK
sudo reboot

חלופה 3: שימוש ב- sbsigntools

• הורד ואמת DBUpdate3P2023.bin וכמתואר KEKUpdate_Microsoft_PK1.bin ב"חלופה 2: שימוש ב-efitools" לעיל.
• השתמש בכלי השירות sbkeysync של sbsigntools כדי להתקין את חבילות העדכון:

sudo mkdir -p /etc/secureboot/keys/db
sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db
sudo mkdir -p /etc/secureboot/keys/KEK
sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK
sudo chattr -i /sys/firmware/efi/efivars/db-*
sudo chattr -i /sys/firmware/efi/efivars/KEK-*
sudo sbkeysync --verbose
sudo chattr +i /sys/firmware/efi/efivars/db-*
sudo chattr +i /sys/firmware/efi/efivars/KEK-*
sudo reboot

שלבי צמצום סיכונים במקרה של כשלי אתחול

במקרה של תרחיש כשל כגון כשל באתחול לאחר עדכון משתנה UEFI, באפשרותך לאפס את הגדרות UEFI באמצעות אחת מהשיטות הבאות:

1. שחזר את הגיבוי שבוצע לפני התחלת תהליך העדכון הידני.
2. המר מחשב וירטואלי של הפעלה מהימנה למחשב וירטואלי Standard והחל מחדש את סוג האבטחה 'הפעלה מהימנה' על המחשב הווירטואלי. (פרטים נוספים כאן: הפעל השקה מהימנה במחשבים וירטואליים קיימים מדור שני - מחשבים וירטואליים של Azure | Microsoft Learn)
3. ייצא את ה- vhd של מערכת ההפעלה לחשבון אחסון, צור תמונת גלריה מה- vhd ופרוס את ה- VM באמצעות גרסת תמונת גלריה .

כתב ויתור על מידע של ספקים חיצוניים

מוצרי צד שלישי שבהם דן מאמר זה מיוצרים על-ידי חברות שאינן תלויות ב- Microsoft. אנחנו לא נושאים בכל אחריות, משתמעת או אחרת, לגבי הביצועים או המהימנות של מוצרים אלה.

אנו מספקים את פרטי הקשר של ספקים חיצוניים כדי לסייע לך לאתר תמיכה טכנית. פרטי קשר אלה עשויים להשתנות ללא הודעה. איננו מתחייבים שפרטי הקשר של ספק חיצוני זה יהיו מדויקים.

יומן רישום שינויים

שנה תאריך	תיאור השינוי
14 ביולי 2026	נוסף קישור לסעיף, "המלצות מספקי מערכת ההפעלה של Linux".
יוני 29, 2026	תיקונים עיקריים להוספת בהירות לפעולות הנדרשות ושיטות חלופיות לעדכון קושחה.
יוני 18, 2026	קישורי הפניה נוספו לסעיף "המלצות מספקי מערכת ההפעלה של Linux".