/usr/libexec/openssh/ssh-keysign文件在tlv中记录的gid和实际环境gid不同，/usr/sbin/tpm2-abrmd文件在tlv中记录的selinux标签和实际环境不同，导致enforce-evm模式下无法执行

【OS版本】：被测的版本信息

【测试类型】：发现问题的测试类型，功能测试、可靠性测试、性能测试等

功能测试

【测试步骤】：详细描述可以复现该问题的测试步骤

1.起hack分支虚拟机，安装kernel包，reboot，进入新内核

2.配置系统进入enforce-evm模式，配置参数为： ima_template=ima-sig initramtmpfs ima_hash=sha256 ima_policy="exec_tcb|appraise_exec_tcb|appraise_exec_immutable" ima_digest_list_pcr=11 ima_appraise=enforce-evm ima_appraise_digest_list=digest evm=x509 evm=complete integrity=1

3.检查可执行文件信息和tlv中数据是否一致，是否可执行

【结果输出】：根据上述测试步骤执行后，系统的实际输出

文件的打包gid和实际的不一致，导致evm校验不过

文件的打包selinux标签和实际的不一致，导致evm校验不过

【预期输出】：系统在上述测试步骤操作后，按照系统设计应该输出的结果

tlv数据和实际环境数据一直，文件可执行

【测试代码】：发现问题的测试代码，或者关键片段，能指导问题复现

【初步定位结论】：已明确的相关定位信息或者相关的沟通交流信息

【是否新引入rpm包，是否进行了安全编译选项扫描】未引入新rpm包

【定位分析】

/usr/libexec/openssh/ssh-keysign文件在tlv中记录的gid和实际环境gid不同的原因是，添加ssh-keysign用户组时并未指定固定的gid，可能导致/etc/group中分配的gid在构建环境和实际环境有差异（被其他包占据了gid），该问题可通过在构建环境中分配固定的gid，并且在安装包时指定该gid解决。

/usr/sbin/tpm2-abrmd文件在tlv中记录的selinux标签和实际环境不同的原因是，实际环境中安装了tpm2-abrmd-selinux包，可以改变/usr/sbin/tpm2-abrmd文件的SElinux标签，但构建阶段我们并不知道该标签信息，解决方式就是将tpm2-abrmd-selinux包也添加为tpm2-abrmd包的构建依赖。

【对外部(配置、头文件、外部函数)是否有影响】

src-openEuler/tpm2-abrmd

Content Risk Flag

Comments (1)

src-openEuler/tpm2-abrmd .gitee-modal { width: 500px !important; }

Content Risk Flag