VIP20

本课程属于：001-ATF移植 启动链与BSP系统构建 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

Linux可信启动部署与异常排查

📚 共计 30 章节

可信启动概述

什么是可信启动 · 为什么需要 · 核心目标：完整性、真实性、不可抵赖性

信任链基础

信任根(Root of Trust) · 信任链传递 · 度量与验证模型

信任链核心

硬件信任根

TPM基础 · TPM 2.0 vs 1.2 · 密钥层次结构

UEFI安全启动

Secure Boot原理 · PK/KEK/db/dbx · 签名与验证流程

UEFI Secure Boot部署

BIOS启用 · 导入自定义证书 · 签名EFI文件

UEFI Secure Boot避坑

签名证书过期 · dbx更新失败 · 双系统兼容性

GRUB2安全启动

shim机制 · MOK (Machine Owner Key) · 配置文件签名

GRUB2部署与避坑

shim.efi未签名 · MOK导入失败 · 模块签名遗漏

Linux内核签名

内核镜像签名 · 内核模块签名 · initramfs签名

内核签名避坑

签名算法不匹配 · 模块版本绑定 · 签名后无法加载

IMA (完整性度量架构)

IMA原理 · 策略配置 · 日志与远程证明

IMA部署避坑

策略过于严格 · 日志溢出 · 与SELinux冲突

dm-verity与文件系统完整性

dm-verity原理 · Hash Tree · veritysetup工具

dm-verity完整性

dm-verity避坑

root hash错误 · 数据分区恢复 · 性能开销评估

LUKS全盘加密

LUKS2格式 · 密钥管理 · LUKS与TPM绑定

LUKS部署避坑

LUKS头损坏 · 密码遗忘恢复 · TPM绑定失败

远程证明与Attestation

TPM Quote · PCR值 · 远程验证服务器搭建

远程证明TPM

远程证明避坑

PCR值漂移 · Nonce机制 · 网络中断处理

容器可信启动

镜像签名(Notary/DCT) · 容器运行时完整性校验

容器可信启动避坑

镜像签名过期 · Notary高可用 · 拉取策略

虚拟化可信启动

vTPM配置 · 虚拟化信任链 · vTPM与物理差异

虚拟化可信启动避坑

vTPM持久化 · 迁移信任链断裂 · 性能问题

避坑虚拟化

固件更新与安全

UEFI Capsule Update · 固件签名验证 · 回滚保护

固件更新避坑

签名验证失败 · 断电恢复 · 版本兼容性

日志与审计

TPM事件日志 · IMA度量日志 · auditd审计

日志与审计避坑

日志轮转丢失 · 完整性保护 · 远程传输安全

信任根损坏 · TPM重置 · 安全启动密钥重置

灾难恢复避坑

TPM物理锁定 · 密钥备份策略 · 自动化恢复

合规与标准

TCG标准 · FIPS 140-3 · Common Criteria · GDPR

综合实战案例

从零搭建可信启动服务器 · 排查手册 · 自动化脚本