Atualizações de certificados de Arranque Seguro para Linux em máquinas virtuais Azure

Neste artigo

• Introdução

• Identificar cenários que exigem ação

• Azure considerações de VM convidado

  • Ações necessárias

  • Implantar atualizações

    • Recomendações de fornecedores do sistema operacional Linux

    • Recomendações por Azure para VMs confidenciais

  • Métodos de atualização de firmware

  • Métodos de verificação

  • Linux atualização da cadeia de inicialização

  • Outras considerações de recurso Azure

  • Monitorar status de atualização

• Etapas de mitigação em caso de falhas de inicialização

• Log de alterações

Introdução

A Inicialização Segura é um recurso de segurança de firmware UEFI que ajuda a garantir que apenas o software confiável e assinado digitalmente seja executado durante a sequência de inicialização da VM. Os certificados de Inicialização Segura da Microsoft emitidos em 2011 começam a expirar em junho de 2026. 

Para manter a proteção contra Inicialização Segura e a manutenção contínua do processo de inicialização antecipada, Azure inicialização confiável em execução Linux deve ser atualizado com certificados SECURE Boot 2023 db e KEK no firmware UEFI virtual. Máquinas Virtuais Confidenciais para Linux em Azure com certificados antigos devem ser recriadas. 

Se uma VM continuar contando com os certificados de 2011 após a expiração, ela continuará a inicializar. No entanto, ele não receberá mais novas proteções de segurança na forma de atualizações shim e certificados futuros e revogações. 

Identificar cenários que exigem ação 

Examine os seguintes cenários para determinar se a ação é necessária: 

• Linux VMs de Lançamento Confiáveis (TVM) ou VMs Confidenciais (CVM) criadas antes de abril de 2024

• Azure imagens da Galeria de Computação capturadas de VMs mais antigas (antes de abril de 2024) Linux Lançamento Confiável ou Confidencial

• Instantâneos ou backups de Linux inicialização confiável ou VMs confidenciais criadas antes de abril de 2024

• VMs confidenciais criadas antes de abril de 2024 a partir de blobs, importadas como disco seguro.

O Lançamento Confiável e o Confidencial Máquinas Virtuais criados após abril de 2024 normalmente já incluem certificados Secure Boot 2023 no firmware UEFI virtual.

Azure considerações de VM convidado 

Atualizações de inicialização segura para Linux em Azure VMs envolvem dois componentes: 

• Proteger certificados de inicialização no firmware virtual (instalado manualmente por meio de ferramentas fornecidas pelo sistema operacional ou automaticamente por meio de atualizações de segurança)

• Linux atualizações de shim e bootloader (fornecedor de distribuição gerenciado)

As operações de atualização são iniciadas de dentro do sistema operacional convidado e dependem do suporte da plataforma para aplicar atualizações autenticadas a variáveis de Inicialização Segura. 

Depois de identificar cenários aplicáveis, inventário seu ambiente para determinar quais VMs exigem atualizações. 

Ações necessárias 

Para todas as VMs convidadas Azure:

• Verifique se os certificados secure boot 2023 estão presentes no firmware UEFI virtual

Para VMs de inicialização confiáveis:

• Inicie atualizações de dentro do Linux sistema operacional de VM convidado, quando necessário de acordo com as diretrizes e ferramentas recomendadas do fornecedor de distro.

• Para Linux VMs, as atualizações devem ser aplicadas na ordem correta.

  Importante: Atualize sempre o firmware de Inicialização Segura (variáveis UEFI) antes de atualizar o shim ou o bootloader. 

• Atualizar o shim antes de atualizar o firmware primeiro pode resultar em uma falha de inicialização.

Para VMs confidenciais:

• A maioria das VMs confidenciais já tem os novos certificados. Para VMs confidenciais sem certificados de Inicialização Segura 2023 presentes, siga as diretrizes abaixo na seção Recomendações por Azure para VMs Confidenciais.

Implantar atualizações 

Atualizações de certificado de inicialização segura para Linux em Azure VMs são iniciadas de dentro do sistema operacional convidado. Essas atualizações diferem por fornecedores de distro, e os clientes devem marcar com seu fornecedor de distribuição primeiro no método recomendado.  

Recomendações de fornecedores do sistema operacional Linux: 

• Azure Linux (CBL-Mariner) – Faça a transição para Azure Linux 3 ou mais recente

• AlmaLinux – Inicialização segura UEFI: Wiki de transição de certificado do Microsoft 2023

• Debian – Segurança das alterações de CA de inicialização Wiki

• Red Hat (RHEL) – Como usar o fwupd para registrar o certificado KB da MICROSOFT UEFI CA 2023

• Ubuntu – Microsoft UEFI CA rotation Community Speech

​​​​​​​​​​​​​​

Recomendações por Azure para VMs confidenciais:

• O número de CVMs criadas antes de abril de 2024 é muito baixo. Se sua VM Confidencial for uma das poucas que não tem os novos certificados, siga as etapas para recriar a CVM.

Métodos de atualização de firmware 

Usando fwupd 

Verifique se a VM tem a versão 2.0.8 ou posterior instalada. 

Para atualizar kek e db, execute esses comandos com fwupdmgr:

Usando efitools 

Baixe pacotes de atualização de DB e KEK para Azure.

Usar o efi-updatevar para instalar os pacotes de atualização

Usando sbsigntools 

Baixe pacotes de atualização de DB e KEK para Azure. 

Use o utilitário sbkeysync de sbsigntools para instalar os pacotes de atualização:

Métodos de verificação 

Usando o mokutil 

Usando efitools 

Etapas de mitigação em caso de falhas de inicialização 

No caso de um cenário de falha, como falha de inicialização após a atualização da variável UEFI, você pode redefinir as configurações UEFI usando um dos métodos abaixo: 

1. Restaure o backup feito antes de iniciar o processo de atualização manual.

2. Converta a VM de Inicialização Confiável em Standard VM e aplique novamente o tipo de segurança de inicialização confiável na VM. (Mais detalhes aqui: Habilitar o lançamento confiável em VMs Gen2 existentes – Azure Máquinas Virtuais | Microsoft Learn)

3. Exporte o vhd do sistema operacional para uma conta de armazenamento, crie uma imagemde galeria do vhd e implante a VM usando a versão da imagem da galeria.

​​​​​​​​​​​​​​Aviso de isenção de responsabilidade para informações de terceiros

Os produtos de terceiros mencionados neste artigo são produzidos por empresas independentes da Microsoft. Não oferecemos nenhuma garantia, implícita ou não, do desempenho ou da confiabilidade desses produtos.

Fornecemos informações de contato de terceiros para ajudá-lo a encontrar suporte técnico. Essas informações de contato podem ser alteradas sem aviso prévio. Não garantimos a precisão dessas informações para contato com outras empresas.

Log de mudanças