À propos de secure boot

Secure boot est un mécanisme de sécurité spécifié dans Unified Extensible Firmware Interface (UEFI) qui assure que seuls des logiciels de démarrage approuvés sont exécutés. Cette fonction protège contre les logiciels malveillants de type rootkit et bootkit, et contribue à prévenir les attaques en garantissant que tous les composants et configurations impliqués dans la chaîne de démarrage sont fiables.

Les composants et configurations de démarrage sont signés avec une clé privée de confiance. Leur intégrité est validée en utilisant des clés publiques stockées dans UEFI. Si tous les composants sont vérifiés, le système est autorisé à démarrer. Cependant, si un des éléments n’est pas signé par une clé de confiance, le système n’est pas autorisée à démarrée.

Informations générales

Secure boot est spécifié dans UEFI. Un contexte UEFI est disponible dans toutes les images machine OUTSCALE (OMI) compatibles avec UEFI.

Lors du démarrage d’une machine virtuelle (VM) à partir d’une de ces OMI, en fonction du système d’exploitation de l’OMI, les modes de démarrage pris en charge peuvent être Unified Extensible Firmware Interface (UEFI), Legacy BIOS (Basic Input/Output System) ou les deux. Pour en savoir plus, voir À propos des modes de démarrage et À propos des OMI.

Secure boot est disponible uniquement avec les VM qui démarrent en UEFI. Si la VM que vous avez créée ne supporte pas UEFI, secure boot ne peut pas être activé. Pour en savoir plus, voir À propos des modes de démarrage.

Secure boot garantit que seuls les composants et les configurations de confiance sont exécutés lors du démarrage d’une VM en vérifiant leur intégrité et leur authenticité à l’aide de signatures numériques et de clés cryptographiques. Chaque composant de démarrage et élément de configuration est signé avec une clé privée fournie par son développeur ou son fournisseur, correspondant aux clés publiques stockées dans la base de données de confiance du firmware UEFI.

Au cours du processus de démarrage, UEFI lit chaque composant et effectue un contrôle d’intégrité en comparant la signature du fichier avec les clés de confiance de la base de données :

Si les signatures correspondent, l’intégrité et l’authenticité sont confirmées et le système démarre en toute sécurité.
Si les signatures ne correspondent pas, la VM démarre et se trouve dans l’état running. Cependant, l’OS de la VM n’est pas autorisé à démarrer.

Contexte UEFI dans les images officielles

Les OMI officielles disposent d’un contexte UEFI qui contient toutes les variables de configuration nécessaires pour activer et utiliser secure boot. Le contexte UEFI contient des clés d’usine fournies par Microsoft :

une clé de plateforme (Platform Key - PK)
des clés d’échanges (Key Exchange Keys - KEK)
une base de données (db)
une base de données de signatures interdites (dbx).

Si le contexte UEFI est vide et ne contient aucune clé, la VM et le système d’exploitation démarrent sans aucune vérification.

Il est possible d’utiliser des clés personnalisées au lieu de celles fournies par les OMI officielles. Pour en savoir plus sur la gestion et la personnalisation des clés, voir la documentation secure boot de Arch Linux.

Secure boot et les VM

Activation et désactivation

Pour activer secure boot au prochain démarrage de la VM, il est nécessaire que :

L’état de secure boot soit active.
Les composants (PK, KEK and DB) soient présents.

Si l’une de ces conditions n’est pas remplie, secure boot n’est pas appliqué et le système d’exploitation démarre sans vérification. Pour en savoir plus, voir Activer ou désactiver secure boot.

Vous pouvez aussi activer secure boot sur une VM déjà démarrer. Pour cela, vous devez utiliser une action secure boot et redémarrer la VM.

Si vous attachez un flexible GPU à une VM avec secure boot activé et que vous utilisez les clés d’usine par défaut, vous devez installer les pilotes propriétaires de Nvidia. Pour en savoir plus, voir le blog de Nvidia.

Les actions secure boot

Vous pouvez définir une action à appliquer au prochain démarrage de la VM :

enable : stocke les clés dans le contexte UEFI et active secure boot.
disable : désactive secure boot.
none : aucune action n’est réalisée au prochain démarrage de la VM.

setup-mode : vide le contexte UEFI de toutes les clés et permet la personnalisation des clés.

Le setup-mode est destiné aux utilisateurs avancés qui comprennent les implications de la modification des clés. Une configuration incorrecte peut empêcher le système de démarrer correctement.

Vous pouvez activer ou désactiver secure boot à tout moment. Toutefois, l’action est effective au prochain arrêt/démarrage de la VM. Les demandes multiples ne sont pas mises en file d’attente, ce qui signifie que seule la dernière action demandée avant le démarrage de la machine virtuelle est appliquée.

Toute modification d’une action secure boot nécessite l’arrêt et le démarrage de l’ensemble de la VM, et pas seulement du système d’exploitation à l’intérieur de la VM. Pour en savoir plus, voir À propos du cycle de vie des VM.

Dépannage

Il se peut que vous rencontriez des difficultés lors du démarrage ou de l’utilisation de VM avec secure boot d’activé. Pour obtenir de l’aide, voir Dépanner des VM secure boot ou contactez notre Support technique.

Pages connexes