Kas ir MOK Manager, kā tas darbojas un kā tas ietekmē drošo sāknēšanu?

Ja kādreiz esat instalējis GNU/Linux izplatījumu līdzās Windows 11 ar iespējotu drošo sāknēšanu , iespējams, esat saskāries ar noslēpumainu zilu ekrānu ar nosaukumu MOK Manager, kurā tiek prasīta parole. Daudziem lietotājiem, īpaši tiem, kas izmanto vecākas mātesplates bez UEFI vai TPM, šis ekrāns var šķist fatāls kļūdas ziņojums... bet tā nav.

Ja iestatāt divkāršas palaišanas sistēmu (piemēram, Windows 11 vienā SSD diskā un Linux Mint, Debian vai Fedora citā diskā) un parādās MOK pārvaldnieks, tas nenozīmē, ka esat kaut ko sabojājis. Šis ekrāns ir daļa no drošās palaišanas drošības mehānisma un ir paredzēts tieši tam, lai jūsu jaunā Linux sistēma varētu startēties, neatspējojot šo funkciju. Izpratne par to, kas ir MOK, kāpēc tas prasa paroli un kas notiek ar Windows, kad pieņemat šīs izmaiņas, pasargās jūs no vairākiem nepatīkamiem pārsteigumiem.

Kas ir MOK (Mašīnas īpašnieka atslēga) un kāpēc tā pastāv?

Akronīms MOK apzīmē Machine Owner Key (Mašīnas īpašnieka atslēga) . Šī atslēga ir drošās sāknēšanas ķēdes sastāvdaļa UEFI sistēmās, kas paredzēta, lai nodrošinātu, ka sāknēšanas laikā tiek izpildīts tikai kriptogrāfiski parakstīts un apstiprināts kods.

Līdz ar UEFI programmaparatūras un tagad jau slavenās Secure Boot parādīšanos ražotāji (un jo īpaši Microsoft) popularizēja modeli, kurā programmaparatūra uzticas tikai binārajiem failiem, ko parakstījušas noteiktas iestādes. Praksē tas nozīmē, ka programmaparatūra pirms palaišanas pārbaudīs tādu komponentu kā shim, GRUB, kodola un noteiktu moduļu parakstu.

Problēma ir skaidra: ja tiek pieņemti tikai "oficiāli" paraksti (piemēram, no Microsoft vai aparatūras ražotāja), jebkurš jūsu paša sagatavots binārais fails, jebkurš pielāgots kodols vai noteikti trešo pušu moduļi (piemēram, VirtualBox vai NVIDIA draiveri dažos gadījumos) netiktu uzskatīti par uzticamiem. Šeit noder MOK.

Ideja ir tāda, ka datora īpašniekam var būt sava atslēga komponentu parakstīšanai, nepaļaujoties uz trešajām personām. Šo datora īpašnieka atslēgu var reģistrēt drošās sāknēšanas atslēgu datubāzē , lai viss, kas ar to parakstīts, tiktu uzskatīts par vienlīdz likumīgu un varētu tikt izpildīts sāknēšanas laikā, nepārkāpjot drošības politikas.

Īsāk sakot, MOK darbojas kā papildu slānis, kas ļauj integrēt savus bināros failus un moduļus drošajā sāknēšanas sistēmā, neatspējojot drošo sāknēšanu vai neievērojot citu noteiktus parakstus, kas ir īpaši noderīgi Linux vidēs, kur ir ierasts kompilēt un ielādēt moduļus ārpus standarta krātuvēm.

Saistība starp MOK, Secure Boot, UEFI un SHIM

Lai labāk izprastu MOK vietu šajā mīklā, ir lietderīgi pārskatīt, kā ir strukturēts UEFI sāknēšanas process ar drošo sāknēšanu . Mūsdienu sistēmā UEFI programmaparatūra vispirms pārbauda atslēgu un atsaukšanas datubāzes, pirms tiek palaists jebkurš EFI binārais fails.

Linux pasaulē gandrīz vienmēr pastāv starpposma komponents, ko sauc par shim . Shim ir neliels sāknēšanas ielādētājs, ko parakstījusi atzīta iestāde (parasti Microsoft) un kas darbojas kā starpnieks starp programmaparatūru un faktisko sāknēšanas pārvaldnieku: parasti GRUB . Programmaparatūra uzticas shim, jo ​​tā ir "oficiāli" parakstīta, un shim, savukārt, izlemj, kurus nākamos bināros failus tas uzskata par derīgiem sāknēšanas procesam.

Tieši shim integrē Machine Owner Key (Mašīnas īpašnieka atslēgas) izmantošanu. Izmantojot MOK, shim var uzticēties binārajiem failiem, kurus esat parakstījis pats , ar nosacījumu, ka atbilstošā publiskā atslēga iepriekš ir reģistrēta, izmantojot MOK Manager. Tādā veidā plūsma būtu apmēram šāda: UEFI pārbauda shim parakstu, shim validē GRUB un kodolu (un tā moduļus), izmantojot gan izplatīšanas komplektā iekļautās atslēgas, gan jūsu reģistrētos MOK.

Pirms šīs metodes pastāvēšanas daudziem izplatījumiem bija jāpaļaujas gandrīz pilnībā uz Microsoft parakstīšanas infrastruktūru, kas radīja ievērojamas grūtības. Tagad, izmantojot MOK, nav obligāti, lai viss notiktu caur šo centralizēto parakstīšanas sistēmu: datora īpašniekam ir veids, kā pārņemt zināmu kontroli pār uzticības ķēdi.

Praksē tas nozīmē, ka, instalējot dažus kodola draiverus, virtualizācijas rīkus, piemēram, VirtualBox ( vboxdrv modulis ), vai citus komponentus, kas tiek ielādēti ļoti agri sāknēšanas procesā, sistēma var lūgt ģenerēt atslēgu pāri, parakstīt moduļus un reģistrēt tos MOK pārvaldniekā, lai drošā sāknēšana nebloķētu to izpildi.

Kas īsti ir MOK Manager un kāpēc tas prasa paroli?

Kad redzat pazīstamo zilo "BIOS" ekrānu, kurā minēts MOK Manager , jūs faktiski palaižat nelielu EFI programmu (parasti mmx64.efi failu ), kas atbild par datora īpašnieka atslēgu pārvaldību. Šī programma tiek palaista tūlīt pēc tam, kad pieprasāt izmaiņas sāknēšanas atslēgas iestatījumos.

Process parasti sākas jūsu Linux sistēmā, piemēram, ar komandu, piemēram , `mokutil --import`, lai reģistrētu jaunu publisko atslēgu. Šī komanda liks jums iestatīt pagaidu, vienreizēju paroli, kas ir nepieciešama, lai vēlāk, pārstartējot datoru, MOK Manager varētu pārbaudīt, vai jūs autorizējat darbību, nevis uzbrucēju.

Nākamajā startēšanas reizē pirms sistēmas ielādes UEFI programmaparatūra palaiž shim. Ja tiek konstatēta jauna atslēga, kas gaida reģistrāciju, tiek palaists MOK Manager. Pēc tam parādās pārvaldības izvēlne, kurā tiek piedāvātas šādas opcijas: reģistrēt jauno atslēgu, dzēst atslēgas, skatīt reģistrētās atslēgas vai turpināt bez izmaiņām.

Viena no visbiežāk pieļautajām kļūdām ir domāt, ka MOK Manager pieprasītā parole ir jūsu Linux lietotāja parole, root parole vai pat Windows parole. Tā nav. Tā ir vienreizējā parole, ko ievadījāt, palaižot mokutil . Ja pieļaujat kļūdu vai ja jūsu tastatūras izkārtojums neatbilst paredzētajam (piemēram, QWERTY/AZERTY problēma), jūs varētu domāt, ka parole netiek ievadīta pareizi, bet patiesībā jūs vienkārši nospiežat citus taustiņus, nekā domājat.

Pēc paroles pareizas ievadīšanas MOK Manager reģistrē jauno atslēgu atbilstošajā datubāzē. No šī brīža visi binārie faili un moduļi, kas parakstīti ar šo atslēgu, tiks uzskatīti par uzticamiem starplikas (shim) ietvaros un tos varēs palaist ar iespējotu drošo sāknēšanu. Tas attiecas uz pielāgotiem kodoliem, trešo pušu moduļiem vai jebkuru citu komponentu, kuru esat izvēlējies parakstīt.

Ir svarīgi uzsvērt, ka MOK reģistrācijas pieņemšana neizjauc Windows 11 sāknēšanas procesu un neatceļ tā parakstu. Windows turpinās sāknēšanu kā parasti, jo jūs vienkārši pievienojat papildu uzticamu atslēgu, nevis noņemat vai aizstājat sistēmā jau esošās.

MOK reālās pasaules scenārijos: divkārša palaišana ar Windows 11 un jaunām mātesplatēm

Viena no visbiežāk sastopamajām situācijām, kad rodas šaubas par MOK Manager, ir tad, kad lietotājs ar modernu mātesplati, kurā pēc noklusējuma ir iespējota UEFI, TPM un drošā sāknēšana, nolemj instalēt tādu distro kā Linux Mint līdzās Windows 11. Ja jums ir vecāka mātesplate bez šīm funkcijām, ir normāli, ka tas viss izklausās pēc "melnās maģijas".

Iedomājieties šādu scenāriju: jūs saglabājat savu Windows 11 instalāciju tādā pašā veidā SSD diskā, iespējojat drošo sāknēšanu (jo Windows to pieprasa noteiktām funkcijām) un vienlaikus instalējat Linux Mint citā diskā. Mint instalēšanas laikā vai pēc tam instalējot noteiktus draiverus, sistēma var lūgt ievadīt MOK paroli . Tas rada vairākus jautājumus: Vai es sabojāšu Windows, ja piekritīšu? Kas notiks, ja neko nedarīšu? Vai man vajadzētu atspējot drošo sāknēšanu?

Realitātē, ja vien ievērosiet parasto procedūru, jūsu Windows 11 nodalījumam nebūs nekāda riska . Drošā sāknēšana paliks darbspējīga, un Windows turpinās startēt bez problēmām. Viss, ko darāt ar MOK, ir norādīt programmaparatūrai uzticēties arī noteiktiem Linux komponentiem, kas nebija rūpnīcā parakstīti, lai tā varētu startēt drošā sāknēšanas režīmā, programmaparatūrai tos nebloķējot.

Daudzi mūsdienu izplatīšanas instalētāji jau automatizē daļu no šī procesa. Tie var ģenerēt atslēgu, palaist nepieciešamās komandas (piemēram, augsta līmeņa rīkus, kas iekšēji izsauc ` mokutil --import` ) un ieplānot MOK pārvaldnieka parādīšanos nākamajā palaišanas reizē, lai jums būtu tikai jāapstiprina reģistrācija.

Ja manuāli konfigurējat sarežģītākus draiverus (piemēram, NVIDIA draiveru atpakaļportus un modernākas kodola versijas tādos izplatījumos kā Debian Buster, lai tie labi darbotos jaunākajos spēļu klēpjdatoros), jums, iespējams, būs jāveic dažas papildu darbības: pašam jāizveido atslēgu pāris (parasti MOK.pem, MOK.der un MOK.priv ), jāparaksta moduļi un pēc tam jāizmanto mokutil, lai importētu publisko atslēgu.

Lai MOK Manager darbotos, šiem failiem nav jāatrodas īpašā sistēmas atrašanās vietā. Svarīgi ir tas, lai importētā publiskā atslēga būtu pieejama reģistrācijas laikā un lai privātā atslēga (MOK.priv) tiktu glabāta drošā vietā , jo tā būs nepieciešama katru reizi, kad vēlēsities parakstīt jaunus bināros failus vai moduļus ar to pašu īpašnieka identitāti.

Mokutil lietošana, atslēgu reģistrācija un bieži sastopamas problēmas

Galvenais rīks MOK atslēgu pārvaldībai operētājsistēmā Linux ir mokutil . Šī utilīta ļauj pārbaudīt drošās sāknēšanas statusu, skatīt jau reģistrētās atslēgas, importēt jaunas atslēgas, pārbaudīt, kuras no tām vēl nav apstiprinātas, un modificēt noteiktas ar drošo sāknēšanu saistītas papildu politikas.

Piemēram, lai uzzinātu, vai jūsu datorā ir aktīva drošā sāknēšana, varat izmantot komandu `mokutil --sb-state` . Šī komanda pateiks, vai sistēma tiek startēta ar iespējotu drošo sāknēšanu, atspējotu to vai kādā UEFI kontrolētā starpposma stāvoklī.

Kad esat ģenerējis atslēgu pāri (bieži vien MOK.pem un MOK.der, kā arī privāto atslēgu MOK.priv), tipisks solis, lai sagatavotos reģistrācijai, ir palaist kaut ko līdzīgu: mokutil –import MOK.der . To darot, mokutil pieprasīs vienreizēju paroli, kas jums jāatceras, jo MOK pārvaldnieks to pieprasīs pēc restartēšanas, lai apstiprinātu darbību.

Pēc importēšanas varat pārbaudīt, vai atslēga ir atzīmēta reģistrācijai, izmantojot komandu `mokutil --list-new` . Pēc tam jaunizveidotajai atslēgai vajadzētu būt redzamai gaidošo vienumu sarakstā. Ja viss ir pareizi, pēc nākamās pārstartēšanas MOK Manager vajadzētu piedāvāt reģistrēt jauno atslēgu un ievadīt pagaidu paroli.

Ja pēc restartēšanas nekas neparādās un sistēma palaižas tieši caur GRUB vai tiek prasīta jūsu LUKS parole, kaut kas nav pabeigts. Šādos gadījumos ieteicams pārbaudīt kodola ziņojumus, piemēram, izmantojot `dmesg | grep cert` , lai redzētu, vai ir kādas atsauces uz nesen pievienotiem sertifikātiem vai atslēgām. Ir arī ieteicams pārliecināties, ka fails mmx64.efi (MOK Manager binārais fails) atrodas direktorijā ` /boot/efi` vai līdzīgā ceļā, ko izmanto jūsu izplatīšana.

Vēl viena ļoti izplatīta problēma ir saistīta ar tastatūras izkārtojumu . MOK pārvaldnieka saskarne (tāpat kā LUKS paroles uzvedne daudzās atomārajās distribūcijās) parasti neievēro jūsu sistēmā konfigurēto tastatūras izkārtojumu. Visbiežāk pēc noklusējuma tā izmanto ASV QWERTY izkārtojumu , kas var radīt apjukumu lietotājiem ar AZERTY tastatūrām vai dažādiem reģionālajiem izkārtojumiem.

Praksē tas nozīmē, ka, ja jūsu parolē ir iekļauti simboli vai burti, kuru pozīcijas mainās uz tastatūras, jūs, visticamāk, ievadāt citu secību, nekā domājat. Šī neatbilstība rada iespaidu, ka parole "nedarbojas", lai gan patiesībā tā vienkārši interpretē dažādus taustiņus. Tāpēc, iestatot vienreizēju paroli Mokutil, ieteicams izmantot rakstzīmes, kuru pozīcijas nemainās starp jūsu tastatūru un standarta ASV izkārtojumu, vai arī garīgi atcerēties, kurus taustiņus jūs faktiski nospiežat šajā izkārtojumā.

Verifikācija, SBAT un uzlabota drošās sāknēšanas pārvaldība

Papildus MOK atslēgas reģistrācijas pārvaldībai mokutil ļauj arī skatīt un pielāgot dažus papildu parametrus, kas saistīti ar SBAT (Secure Boot Advanced Targeting) mehānismu . SBAT cita starpā tiek izmantots, lai atsauktu vecākas kritisku sāknēšanas komponentu, piemēram, shim vai GRUB2, versijas, izmantojot paaudžu numurus.

Jaunākās mokutil versijas (aptuveni no 0.6.0 versijas) ietver opcijas SBAT atsaukšanas statusa pārskatīšanai un atjaunināšanai. Ar komandu `mokutil --list-sbat-revocations` var redzēt pašreizējo SBAT līmeni, kurā darbojas jūsu sistēma, tas ir, kāda minimālā šo bināro failu paaudze joprojām tiek uzskatīta par derīgu.

Daudzās sistēmās ar iespējotu drošo sāknēšanu (Secure Boot) noklusējuma SBAT politika ir iestatīta uz ` previous` . Tas nozīmē, ka tiek lietotas iepriekšējās atsaukšanas, taču joprojām var tikt atļauta relatīvi jaunākās shim un GRUB2 versijas. Mainot politiku ar `mokutil --set-sbat-policy latest` , tiks lietots jaunākais atsaukšanas slānis un tiks novērsta vecāku šo komponentu versiju palaišana.

Un otrādi, pastāv iespēja atgriezties pie iepriekšējās politikas , ja nepieciešams. Abas politikas (jaunākā un iepriekšējā) var iestatīt tikai tādu atsaukšanas līmeni, kas nav agrāks par to, ko piemēroja pēdējā instalētā starplikas pakotne; tas ir, jūs nevarat atgriezties pie mazāk drošas situācijas nekā tā, ko noteikuši jaunākie atjauninājumi.

Ekstrēmiem diagnostikas uzdevumiem vai ja kaut kas ir salūzis pēc sarežģīta atjauninājuma, iespējams, būs jāatjauno SBAT politika uz tās noklusējuma atsaukšanas līmeni. Šādos gadījumos vispārējais ieteikums ir vispirms atspējot drošo sāknēšanu programmaparatūrā un tikai pēc tam izmantot komandu, piemēram, `mokutil --set-sbat-policy delete`, kas notīra šo papildu atsaukšanas politiku, lai sistēma atgrieztos sākuma punktā, ko iestatījusi pašreizējā programmaparatūra un starplikas.

Ir svarīgi paturēt prātā, ka SBAT un bināro failu atsaukšanas manipulācijas nevajadzētu uztvert vieglprātīgi: ja atsauksiet versijas, kuras joprojām izmantojat, jūs varat nonākt pie sistēmas, kas pat neielādēsies drošajā režīmā, kamēr netiks atkārtoti instalētas kritiskas sastāvdaļas vai pārkonfigurēta UEFI programmaparatūra.

Vai tiešām datorā ir nepieciešams izmantot MOK un Secure Boot?

Lai gan no teorētiskā viedokļa viss šis MOK, Secure Boot, shim un SBAT mehānisms nodrošina interesantu drošības slāni, ne visām vidēm ir vienādas vajadzības. Tipiskā mājas vidē , kur dators reti iziet no mājas un nevienam citam nav fiziskas piekļuves, uzbrucēja risks manipulēt ar sāknēšanas procesu bez jūsu ziņas ir relatīvi zems.

Droša sāknēšana galvenokārt ir paredzēta situācijām, kad pastāv bažas, ka kāds ar fizisku piekļuvi varētu ievadīt ļaunprogrammatūru sāknēšanas ķēdē vai aizstāt komponentus ar ļaunprātīgām versijām. Šādi gadījumi biežāk sastopami uzņēmumos, izglītības iestādēs, laboratorijās vai koplietojamā vidē , kur ir daudz lietotāju un ir grūtāk kontrolēt, kas kam piekļūst.

Mājās, ja kāds ir ielauzies jūsu datorā un apsēžas pie tā, lielākā problēma, iespējams, vairs nav tas, vai UEFI ir instalēts sāknēšanas komplekts. Tomēr daudzi cilvēki dod priekšroku iespējot drošo sāknēšanu, jo tā ir Windows 11 prasība un sniedz papildu sirdsmieru, zinot, ka programmaparatūra nedarbosies vienkārši bez pārbaudes.

Šeit MOK kļūst par labu kompromisa rīku: tas ļauj turpināt baudīt drošo sāknēšanu un izpildīt Windows 11 prasības, taču neatsakās no pilnībā funkcionējoša Linux ar patentētiem draiveriem, pielāgotiem moduļiem vai specifiskiem kodoliem, kurus normālos apstākļos drošā sāknēšana bloķētu, jo tos nav parakstījušas "oficiālās" vienības.

Ja nevēlaties visu sarežģīt, vienmēr pastāv radikāla iespēja — atspējot drošo sāknēšanu (Secure Boot) UEFI iestatījumos un pilnībā aizmirst par MOK, taču tādā gadījumā jūs zaudētu šo sāknēšanas drošības slāni, un dažos gadījumos jūs varētu saskarties ar brīdinājumiem vai ierobežojumiem no Windows. Tāpēc daudzos mūsdienu datoros vispraktiskākā pieeja ir iemācīties sadzīvot ar drošo sāknēšanu (Secure Boot) un izmantot MOK kā rīku, lai nemanāmi integrētu savas Linux sistēmas.

Galu galā, izpratne par to, kas ir MOK Manager, kam paredzēts mokutil un kā šie elementi darbojas ar UEFI, shim un SBAT, ļaus jums pārvaldīt divkāršas vai vairāku sāknēšanas sistēmu vidi ar daudz lielāku pārliecību . MOK zilie ekrāni vairs nešķitīs kā dīvainas kļūdas, bet gan vienkārši apstiprinājums, ka jums ir kontrole pār taustiņiem, kas pārvalda jūsu datoru, un to, kāda programmatūra var darboties jūsu sistēmas dzīves pirmajās sekundēs.