TFTP/PXE kimlik doğrulamasız: sağlama ağında aktif MITM kernel, initrd ve komut satırını (rollcall.ca dahil) değiştirebilir; ajan TLS'i (a9ca326) bunu durdurmaz.
Yapılacak: shim + imzalı GRUB/iPXE (veya UEFI HTTPS boot) ile kendi CA'mızı gömülü bir önyükleyici; imzalı commissioning kernel/initrd; squashfs'in imzayla doğrulanması (live-boot fetch yerine doğrulanan indirme); Secure Boot açık makinelerde zincirin uçtan uca kontrolü. Lab: OVMF + Secure Boot ile bir VM.
TFTP/PXE kimlik doğrulamasız: sağlama ağında aktif MITM kernel, initrd ve komut satırını (rollcall.ca dahil) değiştirebilir; ajan TLS'i (a9ca326) bunu durdurmaz.
Yapılacak: shim + imzalı GRUB/iPXE (veya UEFI HTTPS boot) ile kendi CA'mızı gömülü bir önyükleyici; imzalı commissioning kernel/initrd; squashfs'in imzayla doğrulanması (live-boot fetch yerine doğrulanan indirme); Secure Boot açık makinelerde zincirin uçtan uca kontrolü. Lab: OVMF + Secure Boot ile bir VM.
ilker
added this to the v0.3.1 · güvenlik sertleştirme milestone 2026-10-30 02:26:46 +01:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
TFTP/PXE kimlik doğrulamasız: sağlama ağında aktif MITM kernel, initrd ve komut satırını (rollcall.ca dahil) değiştirebilir; ajan TLS'i (
a9ca326) bunu durdurmaz.Yapılacak: shim + imzalı GRUB/iPXE (veya UEFI HTTPS boot) ile kendi CA'mızı gömülü bir önyükleyici; imzalı commissioning kernel/initrd; squashfs'in imzayla doğrulanması (live-boot fetch yerine doğrulanan indirme); Secure Boot açık makinelerde zincirin uçtan uca kontrolü. Lab: OVMF + Secure Boot ile bir VM.
İlk adım tamam (
a0df729,c494c7b,b2ad021): UEFI makineler imzalı shim (bootx64.efi) + imzalı ağ GRUB'ı (grubx64.efi) ile açılıyor; önce imzasız syslinux.efi veriliyordu, Secure Boot açık makine hiç PXE boot edemiyordu (OVMF: Access Denied). GRUB menüleri pxelinux menülerinden üretiliyor; yerel disk, kurulu OS'un imzalı yükleyicisi zincirleme yüklenerek açılıyor (exit ile firmware'e dönmek OVMF'de kendi menüsünde kalıyordu). Lab VM 222 (OVMF, Secure Boot, MS anahtarları): commissioning (EFI stub: Secure Boot enabled, lockdown), ajan HTTPS ile, debian-13 deploy, diskten Secure Boot ile açılış (mokutil: SecureBoot enabled). Ekrandaki bozulma QEMU std VGA + Debian sürücüsüyle ilgiliydi (vmware VGA ile düzgün). Kalan: initrd ve squashfs Secure Boot kapsamında değil (kendi CA'mızla imzalı UKI veya imzalı squashfs doğrulaması), UEFI HTTPS boot.Kalan iş (imzalı UKI / MOK kaydı, squashfs imzası, UEFI HTTPS boot) kurulum akışını değiştiriyor ve gerçek donanımda denenmeli: 'Gerçek donanım doğrulaması' milestone'una taşındı.