build¶

Dieser Befehl erstellt ein vereinigtes Kernelabbild. Die zwei zentralen Optionen, die für den Unterbefehl build angegeben werden sollten, sind Linux=/--linux= und Initrd=/--initrd=. Initrd= akzeptiert mehrere, durch Leerraum getrennte Pfade und --initrd= kann mehrfach angegeben werden.

Es werden zusätzliche Abschnitte in den UKI eingefügt, entweder automatisch oder nur falls eine bestimmte Option bereitgestellt wird. Siehe die nachfolgende Besprechung von Microcode=/--microcode=, Cmdline=/--cmdline=, OSRelease=/--os-release=, DeviceTree=/--devicetree=, DeviceTreeAuto=/--devicetree-auto=, HWIDs=/--hwids=,Splash=/--splash=, PCRPKey=/--pcrpkey=, Uname=/--uname=, SBAT=/--sbat= und --section=.

ukify kann auch zum Zusammenbau eines PE-Programmabbilds verwandt werden, das nicht ausführbar ist, aber zusätzliche Daten enthält, beispielsweise zusätzliche Kernelbefehlszeileneinträge.

Falls über die Optionen PCRPrivateKey=/--pcr-private-key= und PCRPublicKey=/--pcr-public-key= PCR-Signierschlüssel bereitgestellt werden, werden PCR-Werte, die nach dem Systemstart mit dem angegebenen Kernel, der Initrd und anderen Abschnitten vorkommen, berechnet, signiert und in das UKI eingebettet. Diese Berechnung und Signatur erfolgt mit systemd-measure(1).

Die Berechnung von PCR-Werten erfolgt für bestimmte Systemstartphasenpfade. Diese können mit der Option Phases=/--phases= angegeben werden. Falls nicht angegeben, wird die von systemd-measure(1) bereitgestellte Vorgabe verwandt. Es ist auch möglich, die Argumente PCRPrivateKey=/--pcr-private-key=, PCRPublicKey=/--pcr-public-key= und Phases=/--phases= mehr als einmal anzugeben. Die Signaturen erfolgen dann mit jedem der angegebenen Schlüssel. Wird auf der Befehlszeile sowohl --phases= als auch --pcr-private-key= verwandt, müssen sie beide gleich häufig angegeben werden und der n-te Systemstartphasenpfad wird mit dem n-ten Schlüssel signiert. Dies kann zur Erstellung verschiedener Vertrauensrichtlinien für die verschiedenen Phasen des Systemstarts verwandt werden. In der Konfigurationsdatei werden PCRPrivateKey=, PCRPublicKey= und Phases= in verschiedene Abschnitte gruppiert, die getrennte Systemstartphasen beschreiben. Falls entweder SigningEngine=/--signing-engine= oder SigningProvider=/--signing-provider= angegeben wird, dann werden die Argumente mit den öffentlichen Schlüsseln unverändert an OpenSSL als URIs weitergegeben und die Argumente mit den öffentlichen Schlüsseln werden als X.509-Zertifikate geladen, so dass das Signieren mit einer OpenSSL-Engine bzw. einem -Anbieter erfolgen kann.

Falls ein SecureBoot-Signaturschlüssel über die Option SecureBootPrivateKey=/--secureboot-private-key= bereitgestellt ist, wird das resultierende PE-Programm als Ganzes damit signiert. Damit wird ermöglicht, dass SecureBoot dem gesamten UKI vertraut. Siehe auch die Erläuterung der automatischen Registrierung in systemd-boot(7).

Falls der Rumpf oder der Kernel einen Abschnitt ».sbat« enthält, werden sie im UKI zusammengeführt, so dass Widerrufsaktualisierungen, die eines davon betreffen, berücksichtigt werden, wenn das UKI vom Shim geladen wird. Für weitere Informationen zu SBAT siehe die Shim-Dokumentation[2].

genkey¶

Dieser Befehl erstellt die Schlüssel für die PCR-Signatur und die Schlüssel und Zertifikate, die für das SecureBoot-Signieren verwandt werden. Die gleichen Konfigurationsoptionen, die bestimmen, welche Schlüssel und in welchen Pfaden für die Signatur benötigt werden, wenn build verwandt wird, bestimmen hier, welche Schlüssel erstellt werden. Siehe die nachfolgende Diskussion von PCRPrivateKey=/--pcr-private-key=, PCRPublicKey=/--pcr-public-key= und SecureBootPrivateKey=/--secureboot-private-key=.

Die Ausgabedatei darf nicht existieren.

inspect¶

Zeigt Informationen über die Abschnitte in dem oder den angegebene(n) Programme(n). Falls --all angegeben ist, werden alle Abschnitte angezeigt. Falls andernfalls die Option --section= mindestens einmal angegeben ist, werden nur diese Abschnitte angezeigt. Andernfalls werden nur gut bekannte Abschnitte angezeigt, die typischwerweise in eine UKI eingebunden werden, angezeigt. Für jeden Abschnitt wird ihr Name, ihre Größe und ihr SHA256-Hash angezeigt. Für Textabschnitte werden die Inhalte angezeigt.

Siehe auch die Beschreibung von -j/--json= und --section=.

Andere Werkzeuge könnten zum Untersuchen von UKIs nützlich sein: llvm-objdump(1) -p und pe-inspect.

Reine Befehlszeilenoptionen¶

--config=PFAD

--measure, --no-measure

--section=NAME:TEXT|@PFAD, --section=NAME:text|binary[@PFAD]

--join-profile=PFAD

--tools=VERZ

--output=DATEINAME

--summary

--all

--json

-h, --help

--version

Abschnitt [UKI]¶

Linux=LINUX, --linux=LINUX

OSRelease=TEXT|@PFAD, --os-release=TEXT|@PFAD

Cmdline=TEXT|@PFAD, --cmdline=TEXT|@PFAD

Initrd=INITRD…, --initrd=LINUX

Microcode=UCODE, --microcode=UCODE

Splash=PFAD, --splash=PFAD

DeviceTree=PFAD, --devicetree=PFAD

DeviceTreeAuto=PFAD…, --devicetree-auto=PFAD

HWIDs=PFAD, --hwids=PFAD

{


    "name": "Beispiel-Laptop 16 Gen 7",


    "compatible": "Beispiel,laptop-16-g7",


    "hwids": [


        "5dc05bf4-01f6-4089-b464-a08c47ea9295",


        "3e3f8f3c-2003-46f2-811c-85554f7d5952"


    ]
}

Uname=VERSION, --uname=VERSION

SBAT=TEXT|@PFAD, --sbat=TEXT|@PFAD

uki,1,UKI,uki,1,https://uapi-group.org/specifications/specs/unified_kernel_image/

uki-addon,1,UKI Addon,addon,1,https://www.freedesktop.org/software/systemd/man/latest/systemd-stub.html

PCRPKey=PFAD, --pcrpkey=PFAD

Profile=PFAD, --profile=PFAD

PCRBanks=PFAD, --pcr-banks=PFAD

SecureBootSigningTool=SIGNIERER, --signtool=SIGNIERER

SecureBootPrivateKey=SB_SCHLÜSSEL, --secureboot-private-key=SB_SCHLÜSSEL

SecureBootCertificate=SB_ZERT, --secureboot-certificate=SB_ZERT

SecureBootCertificateDir=SB_PFAD, --secureboot-certificate-dir=SB_PFAD

SecureBootCertificateName=SB_ZERTNAME, --secureboot-certificate-name=SB_ZERTNAME

SecureBootCertificateValidity=TAGE, --secureboot-certificate-validity=TAGE

SigningEngine=ENGINE, --signing-engine=ENGINE

SigningProvider=ANBIETER, --signing-provider=ANBIETER

CertificateProvider=ANBIETER, --certificate-provider=ANBIETER

SignKernel=LOGISCH, --sign-kernel, --no-sign-kernel

[PCRSignature:NAME] Abschnitt¶

In der Konfigurationsdatei werden diese Optionen nach Abschnitten gruppiert. Auf der Befehlszeile müssen sie in der gleichen Reihenfolge angegeben werden. Die in beiden Quellen angegebenen Abschnitte werden kombiniert.

PCRPrivateKey=PFAD, --pcr-private-key=PFAD

PCRPublicKey=PFAD, --pcr-public-key=PFAD

Phases=LISTE, --phases=LISTE