ubuntu 16.10 virtualbox não é assinado

4
Estou tendo problemas para obter o virtualbox5.1 trabalhando no ubuntu 16.10 com o uefi boot seguro ativado, isso para começar com meu selfstudy de vagrant and further :). Então, eu estou esperando, alguém pode me ajudar a identificar o problema ou me direcionar da maneira certa.

Eu pesquisei muito na web, e cheguei a este procedimento, mas não está funcionando para mim, quando eu faço um "sudo modinfo vboxdrv", estou perdendo a informação de assinatura.

Vou mostrar a saída, acho relevante. Se você precisar de mais informações, fique à vontade para me dizer:

uname -r
4.8.0-26-generic

dpkg -S sign-file
linux-headers-4.8.0-22-generic: /usr/src/linux-headers-4.8.0-22-generic/scripts/.sign-file.cmd
linux-headers-4.8.0-26-generic: /usr/src/linux-headers-4.8.0-26-generic/scripts/.sign-file.cmd
linux-headers-4.8.0-26: /usr/src/linux-headers-4.8.0-26/scripts/sign-file.c
linux-headers-4.8.0-22-generic: /usr/src/linux-headers-4.8.0-22-generic/scripts/sign-file
linux-headers-4.8.0-26-generic: /usr/src/linux-headers-4.8.0-26-generic/scripts/sign-file
linux-headers-4.8.0-22: /usr/src/linux-headers-4.8.0-22/scripts/sign-file.c
linux-headers-4.8.0-22-generic: /usr/src/linux-headers-4.8.0-22-generic/scripts/sign-file.c
linux-headers-4.8.0-26-generic: /usr/src/linux-headers-4.8.0-26-generic/scripts/sign-file.c

cd .ssh

openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -days 36500 -subj "/[email protected]"

“insira minha senha duas vezes”, já que omiti os -nodes (segurança extra;])

chmod 600 MOK.priv

export KBUILD_SIGN_PIN=”p4$$w<>rD” (not the real password off-course:])

-rw-------  1 username username 1834 Okt 21 14:44 MOK.priv
-rw-r--r--  1 username username  837 Okt 21 14:44 MOK.der
-rwx------  1 username username 1113 Okt 21 15:20 signscript

for f in $(dirname $(modinfo -n vboxdrv))/*.ko; do echo "Signing $f"; sudo /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der $f; done

Signing /lib/modules/4.8.0-26-generic/misc/vboxdrv.ko
At main.c:161:
- SSL error:0907B068:PEM routines:PEM_READ_BIO_PRIVATEKEY:bad password read: pem_pkey.c:117
sign-file: ./MOK.priv: Success
Signing /lib/modules/4.8.0-26-generic/misc/vboxnetadp.ko
At main.c:161:
- SSL error:0907B068:PEM routines:PEM_READ_BIO_PRIVATEKEY:bad password read: pem_pkey.c:117
sign-file: ./MOK.priv: Success
Signing /lib/modules/4.8.0-26-generic/misc/vboxnetflt.ko
At main.c:161:
- SSL error:0907B068:PEM routines:PEM_READ_BIO_PRIVATEKEY:bad password read: pem_pkey.c:117
sign-file: ./MOK.priv: Success
Signing /lib/modules/4.8.0-26-generic/misc/vboxpci.ko
At main.c:161:
- SSL error:0907B068:PEM routines:PEM_READ_BIO_PRIVATEKEY:bad password read: pem_pkey.c:117
sign-file: ./MOK.priv: Success

sudo mokutil --import MOK.der

Eu reinicio o computador e registro o certificado com sucesso. Quando eu verifico se o vboxdrv foi assinado:

sudo modinfo vboxdrv
    filename:       /lib/modules/4.8.0-26-generic/misc/vboxdrv.ko
    version:        5.1.8 r111374 (0x00280000)
    license:        GPL
    description:    Oracle VM VirtualBox Support Driver
    author:         Oracle Corporation
    srcversion:     0194E56703167BB8828186F
    depends:         jjjjjjjjjjjjjjjjj
    vermagic:       4.8.0-26-generic SMP mod_unload modversions 
    parm:           force_async_tsc:force the asynchronous TSC mode (int)

O módulo não está assinado porque estou em MISSING info desta saída:

signer: something
sig_key: 11:11:11:11:11:11:11:11:11:11:11:11:11:11:11:11:11:11:11:11
sig_hashalgo: sha256

Para ter certeza de que não cometi um erro, usei este script: link

#!/bin/bash
# Sign and load VirtualBox modules
# Run as root
[ "'whoami'" = root ] || exec sudo "$0" "$@"
# Set working directory
dir=/home/username/.ssh
cd $dir
# (Optional) Setting env KBUILD_SIGN_PIN for encrypted keys
printf "Please enter key passphrase (leave blank if not needed): "; read -s
export KBUILD_SIGN_PIN="$REPLY"
# (Optional) Decrypt private key. To initially encrypt, run 'gpg -c MOK.priv' then shred MOK.priv
#gpg -d --batch --passphrase-file /owned/by/root/.pass MOK.priv.gpg > MOK.priv
echo
# Sign and load modules
for module in vboxdrv vboxnetflt vboxnetadp vboxpci; do
 [ "'hexdump -e '"%_p"' $(modinfo -n $module) | tail | grep signature'" ] && echo -e "\e[93mModule $module is already signed. Skipping.\e[0m" || /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der $(modinfo -n $module)
 printf "$module: "
 echo 'hexdump -e '"%_p"' $(modinfo -n $module) | tail | grep signature'
 modprobe $module && echo -e "\e[92m$module successfully loaded\e[0m" || echo -e "\e[91mFailed to load $module\e[0m"
 done
# (Optional) Shred private key
echo
#shred -vfuz MOK.priv

infelizmente sem sucesso, eu até recebo erros de SSL, mas o script de arquivo de sinal me diz que foi assinado com sucesso "sign-file: ./MOK.priv: Success"

At main.c:161:
- SSL error:06065064:digital envelope routines:EVP_DecryptFinal_ex:bad decrypt: evp_enc.c:529
- SSL error:23077074:PKCS12 routines:PKCS12_pbe_crypt:pkcs12 cipherfinal error: p12_decr.c:108
- SSL error:2306A075:PKCS12 routines:PKCS12_item_decrypt_d2i:pkcs12 pbe crypt error: p12_decr.c:139
- SSL error:0907B00D:PEM routines:PEM_READ_BIO_PRIVATEKEY:ASN1 lib: pem_pkey.c:141
sign-file: ./MOK.priv: Success
vboxpci: 
modprobe: ERROR: could not insert 'vboxpci': Required key not available
Failed to load vboxpci

quando eu faço:

sudo /sbin/vboxconfig

Created symlink /etc/systemd/system/multi-user.target.wants/vboxdrv.service → /lib/systemd/system/vboxdrv.service.
Created symlink /etc/systemd/system/multi-user.target.wants/vboxballoonctrl-service.service → /lib/systemd/system/vboxballoonctrl-service.service.
Created symlink /etc/systemd/system/multi-user.target.wants/vboxautostart-service.service → /lib/systemd/system/vboxautostart-service.service.
Created symlink /etc/systemd/system/multi-user.target.wants/vboxweb-service.service → /lib/systemd/system/vboxweb-service.service.
vboxdrv.sh: Building VirtualBox kernel modules.
vboxdrv.sh: Starting VirtualBox services.
vboxdrv.sh: Building VirtualBox kernel modules.
vboxdrv.sh: failed: modprobe vboxdrv failed. Please use 'dmesg' to find out why.

There were problems setting up VirtualBox.  To re-start the set-up process, run
  /sbin/vboxconfig
as root.

"sudo dmesg | grep vbox" está vazio, embora

Eu sei que é muita informação, mas espero que alguém possa me ajudar ou me aponte na direção certa.

esta é uma instalação limpa, para que eu possa brincar, se necessário:)

    
por Sybie 21.10.2016 / 16:08

3 respostas

3

Sua saída fornecida mostra um erro de senha durante o processo de assinatura de cada módulo:

Signing /lib/modules/4.8.0-26-generic/misc/vboxdrv.ko
At main.c:161:
- SSL error:0907B068:PEM routines:PEM_READ_BIO_PRIVATEKEY:bad password read: pem_pkey.c:117

O problema é que a senha nunca chega ao OpenSSL. Você especifica a senha com uma variável de ambiente para o usuário atual:

export KBUILD_SIGN_PIN=”p4$$w<>rD”

Mas quando você executa o script de assinatura algumas linhas abaixo, você está usando o sudo para executá-lo no ambiente raiz em vez do ambiente do usuário:

sudo /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der $f

O script é executado como raiz e a variável KBUILD_SIGN_PIN não está no ambiente raiz, portanto, o script não pode acessar KBUILD_SIGN_PIN.

Pode-se consertar isso colocando a variável de ambiente após o sudo, para garantir que esteja definida no ambiente raiz:

sudo KBUILD_SIGN_PIN="p4$$w<>rD" /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der $f
    
por jowo 29.06.2017 / 23:04
-1

A solução mais fácil é desabilitar o Secure Boot. É possível assinar os módulos do kernel usando sua própria chave e, em seguida, registrar essa chave, mas não sei os detalhes do processo.

    
por Rod Smith 21.10.2016 / 22:27
-1

Quando você adiciona o MOK para corrigir

 mokutil --import MOK.der
  • Observe a frase secreta que você dá.
  • Reinicie e siga o menu, inscreva a chave com essa frase secreta

Após o registro da chave na reinicialização, o MOK é válido para assinar os módulos vbox.

    
por nloutas 08.01.2018 / 08:58