![与禁用安全启动相比,使用 MOK 进行安全启动的优势](https://linux22.com/image/955253/%E4%B8%8E%E7%A6%81%E7%94%A8%E5%AE%89%E5%85%A8%E5%90%AF%E5%8A%A8%E7%9B%B8%E6%AF%94%EF%BC%8C%E4%BD%BF%E7%94%A8%20MOK%20%E8%BF%9B%E8%A1%8C%E5%AE%89%E5%85%A8%E5%90%AF%E5%8A%A8%E7%9A%84%E4%BC%98%E5%8A%BF.png)
遵循本指南,我能够注册机器所有者密钥 (MOK) 来签署我的 NVIDIA(专有)驱动程序。设置起来相当容易,而且运行良好。到目前为止,我对它很满意。
我必须输入密码才能注册密钥,但密码仅与 MOK 注册相关,密码将被丢弃,不会再使用。注册完成后,用户不再持有任何秘密(如密码)来限制 MOK 的使用。
显然,第三方驱动程序更新将在安装过程中自动使用 MOK 进行签名。换句话说,如果攻击者能够操纵我的第三方驱动程序,从而将其访问权限提升到 root 用户,那么他就可以像系统更新程序一样,轻而易举地对操纵的驱动程序进行签名。
我认为使用 MOK 安全启动的唯一好处是:
- 通过添加额外的检查,它为针对内核和驱动程序的攻击场景增加了一些复杂性,尽管我的理解是这个检查很容易被绕过。
- 它允许我在 BIOS 中启用安全启动,这是 Windows 11 等某些操作系统的安全要求。
- 如果 BIOS 中默认启用了安全启动,我就不需要找出如何禁用它来使我的 NVIDIA(专有)驱动程序正常工作。
我是不是漏掉了什么?在仅启动一个操作系统的机器上使用 MOK 安全启动是否有任何安全优势?
答案1
我想我在 Unix Stack Exchange 上发现了类似的问题。
在答案中,对我来说有意义的重要部分是:
其主要思想是,只有经过签名的代码才允许在加载操作系统 (OS) 时运行。一旦启动,操作系统就可以接替 BIOS 负责保护系统安全。
因此,基本上,如果操作系统存在漏洞并且攻击者可以获得 root 权限,则可以在下次启动时执行被操纵的驱动程序,这正是我的理解。
您需要 MOK 和安全启动吗?如果您永远不会被黑客成功攻击,尤其是那些可能物理访问您的笔记本电脑或通过浏览器/办公室/Linux 漏洞从互联网获得 root 访问权限的黑客,那么就不需要了。
就我而言,设置 MOK 相当容易,并且给潜在攻击增加了一点复杂性,所以我会保留它。