From 377ec1428dd44537f0a058c1520d4f0a33979f9e Mon Sep 17 00:00:00 2001 From: "YiLin.Li" Date: Fri, 22 Sep 2023 20:44:19 +0800 Subject: [PATCH 1/2] src/anolisos-kernel.md: add the introduction about kernel trust-related Kconfigs Signed-off-by: YiLin.Li --- src/anolisos-kernel.md | 18 ++++++++++++++++++ 1 file changed, 18 insertions(+) diff --git a/src/anolisos-kernel.md b/src/anolisos-kernel.md index c72fcd3..263f6a5 100644 --- a/src/anolisos-kernel.md +++ b/src/anolisos-kernel.md @@ -182,3 +182,21 @@ Xen在4.3中使用libxl工具栈添加了对vTPM驱动程序的支持。有关 ## 4.3 接口和API 内核支持TPM/TCM访问接口和API +# 五、内核可信配置参数(KConfig) +内核中有需要可信计算相关的配置参数，下表中列举出部分常用的参数以及解释其含义 +| 内核可信配置名称 | 用途 | 依赖的Config(以下省略`CONFIG_`开头) | +| :-: | :-: | :-: | +| CONFIG_SYSTEM_TRUSTED_KEYS | 系统可信keys, 可以级联 | CRYPTO [=y] && SYSTEM_TRUSTED_KEYRING [=y] | +| CONFIG_SECONDARY_TRUSTED_KEYRING | 允许用户从用户空间加入system trusted key，要求key必须是从用户空间加载，且必须由其中一把key签过 | CRYPTO [=y] && SYSTEM_TRUSTED_KEYRING [=y] | +| CONFIG_SYSTEM_EXTRA_CERTIFICATE | 设置预留区域允许用户手动插入证书而不需要重编内核 | CRYPTO [=y] && SYSTEM_TRUSTED_KEYRING [=y] | +| CONFIG_SYSTEM_EXTRA_CERTIFICATE_SIZE | 证书预留区域的大小 | CRYPTO [=y] && SYSTEM_EXTRA_CERTIFICATE [=y] | +| CONFIG_MODULE_SIG | 开启后对内核模块的签名进行检查 | MODULES [=y] | +| CONFIG_MODULE_SIG_FORCE | 开启后内核会直接拒绝加载签名有问题的内核模块 | MODULES [=y] && MODULE_SIG [=y] | +| CONFIG_INTEGRITY_AUDIT | 使能完整性审计支持 | INTEGRITY [=y] && AUDIT [=y] | +| CONFIG_IMA | 使能IMA | INTEGRITY [=y] | +| CONFIG_IMA_WRITE_POLICY | 允许对 IMA 策略的多次写入 | INTEGRITY [=y] && IMA [=y] | +| CONFIG_IMA_READ_POLICY | 允许读当前 IMA 策略 | INTEGRITY [=y] && IMA [=y] | +| CONFIG_IMA_X509_PATH | IMA x509证书路径 | INTEGRITY [=y] && IMA_LOAD_X509 [=y] | +| CONFIG_IMA_DEFAULT_HASH | IMA缺省的HASH算法 | INTEGRITY [=y] && IMA [=y] | +| CONFIG_IMA_DEFAULT_TEMPLATE | IMA缺省的模板 | INTEGRITY [=y] && IMA [=y] | +| CONFIG_IMA_APPRAISE | 使能本地测量完整性评估 | INTEGRITY [=y] && IMA [=y] | -- Gitee From ef13c88f71ed8e6ff941779f581eeef8c53878fc Mon Sep 17 00:00:00 2001 From: "YiLin.Li" Date: Mon, 25 Sep 2023 12:13:11 +0800 Subject: [PATCH 2/2] src/introduction.md: fix a typo Signed-off-by: YiLin.Li --- src/introduction.md | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/src/introduction.md b/src/introduction.md index 9389e74..5047217 100644 --- a/src/introduction.md +++ b/src/introduction.md @@ -1,5 +1,5 @@ # 可信计算简介 -## （一） 可计算的概念 +## （一） 可信计算的概念   可信计算是通过检测和强化实体行为的预期性来保障实体信任的技术，是一种从体系结构入手解决信息系统安全问题的技术理念；其基本思想是先在计算机系统中建立一个信任根(基)，信任根的可信性由物理安全、技术安全与管理安全共同确保；再建立一条信任链，从信任根开始，到硬件平台，到操作系统，再到应用，一级度量认证一级，一级信任一级，把这种信任扩展到整个计算机系统。   可信并不等同于安全，但可信是安全的基础，因为安全组件、策略只有运行在可信的环境下才能进一步达到安全目的。通过系统和安全组件的完整性保障，可以确保业务应用使用正确的软件栈，并在软件栈受到攻击发生改变后能及时发现。总之，在系统和应用中引入可信计算能够极大地降低由于使用未知或遭到篡改的系统/软件遭到攻击的可能性。 ## （二）可信计算应用发展现状 -- Gitee