3.6. Générer une paire de clés publique et privée

Pour utiliser un noyau personnalisé ou des modules de noyau personnalisés sur un système compatible avec Secure Boot, vous devez générer une paire de clés X.509 publique et privée. Vous pouvez utiliser la clé privée générée pour signer le noyau ou les modules du noyau. Vous pouvez également valider le noyau ou les modules signés en ajoutant la clé publique correspondante à la clé du propriétaire de la machine (MOK) pour Secure Boot.

Avertissement

Appliquez des mesures de sécurité et des politiques d'accès strictes pour protéger le contenu de votre clé privée. Entre de mauvaises mains, la clé pourrait être utilisée pour compromettre tout système authentifié par la clé publique correspondante.

Procédure

  • Créez une paire de clés publiques et privées X.509 :

    • Si vous souhaitez uniquement signer un noyau personnalisé modules: 

      # efikeygen --dbdir /etc/pki/pesign \
            --self-sign \
            --module \
            --common-name 'CN=Organization signing key' \
            --nickname 'Custom Secure Boot key'

    • Si vous souhaitez signer un document personnalisé kernel: 

      # efikeygen --dbdir /etc/pki/pesign \
            --self-sign \
            --kernel \
            --common-name 'CN=Organization signing key' \
            --nickname 'Custom Secure Boot key'

    • Lorsque le système RHEL fonctionne en mode FIPS : 

      # efikeygen --dbdir /etc/pki/pesign \
            --self-sign \
            --kernel \
            --common-name 'CN=Organization signing key' \
            --nickname 'Custom Secure Boot key'
            --token 'pkcs11:token=NSS%20FIPS%20140-2%20Certificate%20DB'

      Par défaut, lorsque l'option --token n'est pas spécifiée, pkcs11:token=NSS Certificate DB est utilisé.

Les clés publiques et privées sont maintenant stockées dans le répertoire /etc/pki/pesign/.

Important

C'est une bonne pratique de sécurité de signer le noyau et les modules du noyau pendant la période de validité de sa clé de signature. Cependant, l'utilitaire sign-file ne vous avertit pas et la clé sera utilisable dans Red Hat Enterprise Linux 9 indépendamment des dates de validité.

Ressources supplémentaires