Mokutil: Gestión de Claves de Propietario de la Máquina en Linux

Mokutil es una herramienta esencial para administrar las claves de propietario de la máquina (MOK) en sistemas Linux que implementan SecureBoot. Estas claves son cruciales para asegurar la integridad del proceso de arranque y evitar la ejecución de software no autorizado. En este artículo, profundizaremos en las funcionalidades de mokutil, proporcionando una guía completa para su uso.

¿Qué son las claves MOK y por qué son importantes?

Las claves MOK, o Machine Owner Keys, son claves criptográficas que se almacenan en la base de datos de shim, un componente del proceso de arranque de SecureBoot. Estas claves se utilizan para validar el firmware y el sistema operativo durante el proceso de arranque, asegurando que solo el software autorizado pueda ejecutarse. Las claves MOK se generan durante la configuración inicial del sistema y se utilizan para firmar el firmware y el sistema operativo. Si se intenta ejecutar software no firmado o modificado, SecureBoot se negará a arrancar el sistema, protegiéndolo de amenazas potenciales.

Instalación de mokutil

En la mayoría de las distribuciones Linux, mokutil se instala de forma predeterminada. Sin embargo, si no está instalado, puede instalarlo fácilmente a través del gestor de paquetes de su distribución. Por ejemplo, en Debian/Ubuntu, puede ejecutar el siguiente comando:


sudo apt update && sudo apt install mokutil


Funciones principales de mokutil

mokutil ofrece una amplia gama de funciones para gestionar las claves MOK, incluyendo:

1. Listar las claves MOK almacenadas:

Utilice el comando mokutil --list para ver las claves MOK actuales que se encuentran almacenadas en la base de datos de shim. La salida mostrará la cantidad de claves registradas, así como las claves en sí mismas.

2. Agregar nuevas claves MOK:

Puede agregar nuevas claves MOK utilizando el comando mokutil --import seguido de la ruta al archivo de clave. Este archivo debe contener la clave pública en formato PEM o DER. Asegúrese de tener acceso a la clave privada correspondiente, ya que será necesaria para la validación del arranque.

3. Eliminar claves MOK existentes:

Para eliminar una clave MOK, utilice el comando mokutil --remove seguido del índice de la clave en la lista de claves MOK. Tenga en cuenta que esta acción es irreversible.

4. Revocar claves MOK:

Si ya no desea que una clave MOK sea válida, puede revocarla utilizando el comando mokutil --revoke. Esta acción marca la clave como no válida, evitando que se utilice para validar el arranque.

5. Exportar claves MOK:

Puede exportar una clave MOK utilizando el comando mokutil --export. Esto creará un archivo que contiene la clave pública en formato PEM.

6. Habilitar o deshabilitar la validación de SecureBoot:

Puede habilitar o deshabilitar la validación de SecureBoot utilizando los comandos mokutil --enable y mokutil --disable, respectivamente. Habilitar la validación asegura que solo el software firmado pueda ejecutarse.

7. Mostrar el estado de SecureBoot:

El comando mokutil --sb-state muestra el estado actual de SecureBoot, incluyendo si está habilitado o no, así como la cantidad de claves MOK registradas.

8. Probar si una clave MOK está registrada:

Para verificar si una clave MOK está registrada, utilice el comando mokutil --is-registered. Este comando toma como argumento la ruta al archivo de clave pública.

9. Restablecer la lista de claves MOK:

Si necesita restablecer la lista de claves MOK, puede utilizar el comando mokutil --reset. Esta acción eliminará todas las claves MOK existentes.

Casos de uso de mokutil

mokutil se utiliza en una variedad de escenarios relacionados con SecureBoot y la gestión de claves MOK:

• Instalación limpia de un sistema operativo: Cuando instala un sistema operativo nuevo, es posible que deba agregar una clave MOK para validar el sistema operativo y el firmware.
• Actualización del firmware: Si actualiza el firmware de su sistema, es posible que deba agregar una nueva clave MOK para validar el firmware actualizado.
• Cambiar la configuración de SecureBoot: Si desea cambiar la configuración de SecureBoot, es posible que deba modificar la lista de claves MOK.
• Recuperación de errores de arranque: Si tiene problemas para arrancar su sistema debido a un error relacionado con SecureBoot, es posible que deba utilizar mokutil para solucionar el problema.

Precauciones al utilizar mokutil

• Es importante comprender que mokutil es una herramienta poderosa que puede afectar la seguridad de su sistema.
• Asegúrese de utilizar la herramienta con precaución y siempre siga las instrucciones cuidadosamente.
• Es recomendable realizar una copia de seguridad de su sistema antes de realizar cualquier cambio importante utilizando mokutil.

Resumen

mokutil es una herramienta esencial para administrar las claves MOK en sistemas Linux que implementan SecureBoot. Ofrece una variedad de funciones para gestionar las claves MOK, incluyendo la importación, eliminación, revocación y exportación de claves, así como la habilitación o deshabilitación de la validación de SecureBoot. Comprender las funciones de mokutil y sus posibles usos puede mejorar la seguridad de su sistema y facilitar la gestión de la configuración de SecureBoot.