AIX Trusted Installation unterstützt die folgenden Richtlinien:

• • none – Es werden keine digitalen Signaturen überprüft. (Default)
  • low – Digitale Signaturen werden überprüft, bei Abweichungen wird aber nur eine Fehlermeldung ausgegeben. Die Installation wird unabhängig vom Ergebnis der Überprüfung durchgeführt.
  • medium – Digitale Signaturen werden überprüft, bei Abweichungen erfolgt eine interaktive Abfrage, ob die Installation fortgesetzt werden soll.
  • high – Digitale Signaturen werden überprüft. Bei Fehlschlagen der Überprüfung wird die Installation mit einer Fehlermeldung abgebrochen.

Die Konfiguration erfolgt mit dem Kommando chsignpolicy.

Die aktuell eingestellte Richtlinie lässt sich mit der Option „-p“ anzeigen:

# chsignpolicy -p
#signpolicy
none
#

Hinweis: Das Kommando chsignpolicy benötigt root-Rechte für die Ausführung.

Die aktuell eingestellte Richtlinie ist im Gerät sys0 hinterlegt:

$ lsattr -El sys0 -a signpolicy
signpolicy none Digital Signature Policy True
$ 

Die möglichen Richtlinien können mit der Option „-R“ (range) von chsignpolicy oder auch lsattr angezeigt werden:

# chsignpolicy -R
none
low
medium
high
#                             
$ lsattr -Rl sys0 -a signpolicy
none
low
medium
high
$

Hinweis: Das Kommando lsattr kann von jedem Benutzer aufgerufen werden (und wird letztlich auch von chsignpolicy verwendet.)

Eine Änderung der Richtlinie kann mit der Option „-s“ (set) durchgeführt werden und wirkt sich sofort aus:

# chsignpolicy -s low
sys0 changed
# chsignpolicy -p
#signpolicy
low
# 

Um das Verhalten der verschiedenen Richtlinien zu demonstrieren, haben wir einige Filesets zum Testen erzeugt. Im Hinblick auf digitale Signaturen, gibt es drei verschiedene Fälle von Filesets (Software-Paketen):

• • Fileset ohne digitale Signatur (test.no_signature)
  • Fileset mit ungültiger Signatur (test.invalid_signature)
  • Fileset mit gültiger Signatur (test.valid_signature)

Fall 1: Richtline none (Default)

Wir setzen die Richtlinie für digitale Signaturen zunächst auf den Default-Wert none:

# chsignpolicy -s none
sys0 changed
# 

Anschließend installieren wir die drei Test-Filesets:

# installp -ad . test.no_signature test.invalid_signature test.valid_signature
+-----------------------------------------------------------------------------+
                    Pre-installation Verification...
+-----------------------------------------------------------------------------+
Verifying selections...done
Verifying requisites...done
Results...
…
Installation Summary
--------------------
Name                        Level           Part        Event       Result
-------------------------------------------------------------------------------
test.no_signature           1.0.0.0         USR         APPLY       SUCCESS   
test.invalid_signature      1.0.0.0         USR         APPLY       SUCCESS   
test.valid_signature        1.0.0.0         USR         APPLY       SUCCESS   
# 

Wie erwartet, lassen sich alle drei Filesets ohne Probleme und ohne Überprüfung installieren.

Fall 2: Richtline low

Als nächstes setzen wir die Richtlinie auf low:

# chsignpolicy -s low
sys0 changed
# 

Danach installieren wir wieder die 3 Test-Filesets:

# installp -ad . test.no_signature test.invalid_signature test.valid_signature
+-----------------------------------------------------------------------------+
                    Pre-installation Verification...
+-----------------------------------------------------------------------------+
Verifying selections...done
Verifying requisites...done
Results...
…
Verifying known package signatures of install source: /export/src/bff/.

Please wait...
INFO: Package /export/src/bff/test.invalid_signature.1.0.0.0.I failed signature verification.
INFO: Package /export/src/bff/test.no_signature.1.0.0.0.bff failed signature verification.
…
Installation Summary
--------------------
Name                        Level           Part        Event       Result
-------------------------------------------------------------------------------
test.no_signature           1.0.0.0         USR         APPLY       SUCCESS   
test.invalid_signature      1.0.0.0         USR         APPLY       SUCCESS   
test.valid_signature        1.0.0.0         USR         APPLY       SUCCESS   
# 

Dieses Mal erfolgt eine Überprüfung der Signaturen und bei Fehlschlagen wird eine entsprechende Meldung ausgegeben:

INFO: Package /export/src/bff/test.invalid_signature.1.0.0.0.I failed signature verification.
INFO: Package /export/src/bff/test.no_signature.1.0.0.0.bff failed signature verification.

Fall 3: Richtline medium

Wir stellen die Richtlinie nun auf medium:

# chsignpolicy -s medium
sys0 changed
# 

Danach starten wir wieder die Installation der 3 Test-Filesets:

# installp -ad . test.no_signature test.invalid_signature test.valid_signature
+-----------------------------------------------------------------------------+
                    Pre-installation Verification...
+-----------------------------------------------------------------------------+
Verifying selections...done
Verifying requisites...done
Results...
…
Verifying known package signatures of install source: /export/src/bff/.

Please wait...
WARNING: Package /export/src/bff/test.invalid_signature.1.0.0.0.I failed signature verification. Continue? (y/n)
y
Continuing..
WARNING: Package /export/src/bff/test.no_signature.1.0.0.0.bff failed signature verification. Continue? (y/n)
Y
…
Installation Summary
--------------------
Name                        Level           Part        Event       Result
-------------------------------------------------------------------------------
test.no_signature           1.0.0.0         USR         APPLY       SUCCESS   
test.invalid_signature      1.0.0.0         USR         APPLY       SUCCESS   
test.valid_signature        1.0.0.0         USR         APPLY       SUCCESS   
# 

Die Signaturen werden überprüft und falls keine Signatur im DSC hinterlegt ist, oder die Signatur zu diesem abweicht, wird eine Warnung  ausgegeben, mit der Frage ob die Installation fortgeführt werden soll:

WARNING: Package /export/src/bff/test.invalid_signature.1.0.0.0.I failed signature verification. Continue? (y/n)

Hinweis: Wird bei einer der Abfragen „n“ ausgewählt, wird die ganze Installation abgebrochen!

Fall 4: Richtline high

Als letztes stellen wir die Richtlinie high ein:

# chsignpolicy -s high 
sys0 changed
# 

Erneut starten wir die Installation der 3 Test-Filesets:

# installp -ad . test.no_signature test.invalid_signature test.valid_signature
+-----------------------------------------------------------------------------+
                    Pre-installation Verification...
+-----------------------------------------------------------------------------+
Verifying selections...done
Verifying requisites...done
Results...
…
Verifying known package signatures of install source: /export/src/bff/.

Please wait...
FAILURE: Package /export/src/bff/test.invalid_signature.1.0.0.0.I failed signature verification.
# 

Hinweis: Beim ersten Fileset mit keiner Signatur oder einer inkorrekten Signatur, wird die Installation als Ganzes abgebrochen!