Saugiojo paleidimo sertifikato naujinimai, skirti "Linux" "Azure" virtualiosiose mašinose

Šiame straipsnyje

• Įvadas

• Scenarijų, kuriems reikia imtis veiksmų, nustatymas

• "Azure" svečio VM aspektai

  • Reikia imtis veiksmų

  • Naujinimų diegimas

    • "Linux OS" pardavėjų rekomendacijos

    • "Azure" rekomendacijos dėl konfidencialių virtualiųjų mašinų

  • Programinės-aparatinės įrangos naujinimo būdai

  • Tikrinimo metodai

  • "Linux" įkrovos grandinės atnaujinimas

  • Kiti "Azure" išteklių aspektai

  • Naujinimo būsenos stebėjimas

• Rizikos mažinimo veiksmai įvykus įkrovos trikčiai

• Pakeitimų žurnalas

Įvadas

Saugioji įkrova yra UEFI programinės-aparatinės įrangos saugos funkcija, padedanti užtikrinti, kad VM įkrovos sekos metu veiktų tik patikima, skaitmeniniu parašu pasirašyta programinė įranga. 2011 m. išduoti "Microsoft" saugiosios įkrovos sertifikatai pradeda galioti 2026 m. birželio mėn. 

Norint išlaikyti saugiosios įkrovos apsaugą ir nuolatinę ankstyvosios įkrovos proceso priežiūrą, "Azure Trusted Launch", kurioje veikia "Linux", turi būti atnaujinta saugiosios įkrovos 2023 db ir KEK sertifikatais virtualioje UEFI programinėje-aparatinėje įrangoje. Konfidencialios virtualiosios mašinos, skirtos "Linux" "Azure" sistemoje su senais sertifikatais, turi būti sukurtos iš naujo. 

Jei VM ir toliau remsis 2011 metų sertifikatais pasibaigus galiojimo laikui, ji ir toliau veiks. Tačiau jis nebegaus naujų saugos apsaugos priemonių tarpinių atnaujinimų ir būsimų sertifikatų bei atšaukimų pavidalu. 

Scenarijų, kuriems reikia imtis veiksmų, nustatymas 

Peržiūrėkite toliau nurodytus scenarijus, kad nustatytumėte, ar reikia imtis veiksmų. 

• "Linux" patikimos paleidimo virtualiosios mašinos (TVM) arba konfidencialios virtualiosios mašinos (CVM), sukurtos iki 2024 m. balandžio mėn.

• "Azure" skaičiavimo galerija vaizdai, užfiksuoti iš senesnių (iki 2024 m. balandžio mėn.) "Linux" patikimos paleidimo arba konfidencialių virtualiųjų mašinų

• "Linux Trusted Launch" arba konfidencialių virtualių mašinų, sukurtų iki 2024 m. balandžio mėn., momentinės nuotraukos arba atsarginės kopijos

• Konfidencialios virtualiosios mašinos, sukurtos iki 2024 m. balandžio mėn. iš didelių dvejetainių objektų, importuotos kaip saugusis diskas.

Patikimo paleidimo ir konfidencialios virtualiosios mašinos, sukurtos po 2024 m. balandžio mėn., paprastai jau apima saugiosios įkrovos 2023 sertifikatus virtualioje UEFI programinėje-aparatinėje įrangoje.

"Azure" svečio VM aspektai 

Saugios įkrovos naujinimai, skirti "Linux" "Azure" VM, apima du komponentus: 

• Saugios įkrovos sertifikatai virtualioje programinėje įrangoje (įdiegiami rankiniu būdu per OS pateiktus įrankius arba automatiškai per saugos naujinimus)

• Linux Shim ir bootloader atnaujinimai (distribucija pardavėjas valdomas)

Naujinimo operacijos pradedamos svečio operacinėje sistemoje ir priklauso nuo platformos palaikymo, kad būtų galima pritaikyti autentifikuotus naujinimus saugiosios įkrovos kintamiesiems. 

Nustatę taikytinus scenarijus, inventorizuokite aplinką, kad nustatytumėte, kurias virtualiąsias mašinas reikia atnaujinti. 

Reikia imtis veiksmų 

Visoms "Azure" svečių virtualiosioms mašinoms:

• Patikrinkite, ar virtualioje UEFI programinėje-aparatinėje įrangoje yra saugiosios įkrovos 2023 sertifikatų

Patikimos paleidimo virtualiosios mašinos:

• Inicijuokite atnaujinimus iš "Linux" svečio VM operacinės sistemos, jei reikia, pagal savo distribucijos tiekėjo rekomenduojamas gaires ir įrankius.

• "Linux" VM atnaujinimai turi būti taikomi teisinga tvarka.

  Svarbu: Visada atnaujinkite saugiosios įkrovos programinę-aparatinę įrangą (UEFI kintamuosius) prieš naujindami tarpiklį arba įkrovos programą. 

• Atnaujinus tarpiklį prieš atnaujinant programinę-aparatinę įrangą, gali sugesti įkrova.

konfidencialioms virtualioms mašinoms:

• Dauguma konfidencialių virtualiųjų mašinų jau turi naujus sertifikatus. Jei naudojate konfidencialias virtualias mašinas be saugiosios įkrovos 2023 sertifikatų, vadovaukitės skyriuje "Azure" rekomendacijos konfidencialioms virtualiosioms mašinoms" pateiktais nurodymais.

Naujinimų diegimas 

Saugiojo paleidimo sertifikato atnaujinimai, skirti "Linux" "Azure" VM, inicijuojami svečio operacinėje sistemoje. Šie naujinimai skiriasi priklausomai nuo platinimo pardavėjų, todėl klientai pirmiausia turėtų pasitarti su savo platinimo pardavėju dėl rekomenduojamo metodo.  

"Linux OS" pardavėjų rekomendacijos: 

• Azure Linux (CBL-Mariner) – pereikite prie 3 Azure Linux arba naujesnės versijos

• "AlmaLinux" – UEFI saugus paleidimas: "Microsoft 2023" sertifikato perėjimo "wiki"

• Debian - Secure Boot CA Changes Wiki

• "Red Hat" (RHEL) – kaip naudoti fwupd norint užregistruoti "Microsoft UEFI CA 2023" sertifikatą KB

• Ubuntu – Microsoft UEFI CA rotacija Bendruomenės diskursas

​​​​​​​​​​​​​​

"Azure" rekomendacijos konfidencialioms virtualiosioms mašinoms:

• Iki 2024 m. balandžio mėn. sukurtų BTM skaičius yra labai mažas. Jei jūsų konfidenciali VM yra viena iš nedaugelio, neturinčių naujų sertifikatų, atlikite veiksmus, kad iš naujo sukurtumėte CVM.

Programinės-aparatinės įrangos naujinimo būdai 

Naudojant fwupd 

Įsitikinkite, kad VM įdiegta fwupd 2.0.8 arba naujesnė versija. 

Norėdami atnaujinti KEK ir db, vykdykite šias komandas naudodami fwupdmgr:

"efitools" naudojimas 

Atsisiųskite db ir KEK naujinimo paketus, skirtus "Azure".

Naudokite efi-updatevar naujinimų paketams įdiegti

Naudojant sbsigntools 

Atsisiųskite db ir KEK naujinimo paketus, skirtus "Azure". 

Naudokite sbsigntools sbkeysync įrankį, kad įdiegtumėte naujinimo paketus:

Tikrinimo metodai 

Naudojant mokutil 

"efitools" naudojimas 

Rizikos mažinimo veiksmai įvykus įkrovos trikčiai 

Įvykus trikties scenarijui, pvz., nepavykus paleisti UEFI kintamojo naujinimo, UEFI parametrus galite nustatyti iš naujo vienu iš toliau nurodytų būdų: 

1. Atkurkite padarytą atsarginę kopiją prieš pradėdami neautomatinio naujinimo procesą.

2. Konvertuokite Trusted Launch VM į Standard VM ir iš naujo pritaikykite Trusted Launch saugos tipą VM. (Daugiau informacijos čia: Įgalinti "Trusted launch" esamose "Gen2" VM – "Azure" virtualiosiose mašinose | "Microsoft Learn")

3. Eksportuokite OS vhd į saugyklos paskyrą, sukurkite galerijos vaizdąiš vhd ir įdiekite VM naudodami galerijosvaizdo versiją.

​​​​​​​​​​​​​​Trečiosios šalies informacijos atsakomybės atsisakymas

Šiame straipsnyje aptariamus trečiųjų šalių produktus gamina nuo bendrovės „Microsoft“ nepriklausomos įmonės. Šių produktų veikimui ar patikimumui mes netaikome jokių numanomų ar kitokių garantijų.

Teikiame trečiųjų šalių kontaktinę informaciją, kad padėtume jums gauti techninę pagalbą. Ši kontaktinė informacija gali būti keičiama be pranešimo. Negarantuojame šios trečiųjų šalių kontaktinės informacijos tikslumo.

Pakeitimų žurnalas