Шлюзы Intel для интернета вещей: подписываем и устанавливаем RPM-пакеты

в 15:52, , рубрики: rpm, Блог компании Intel, Интернет вещей, Разработка для интернета вещей, шлюзы Intel, метки:

Если на вашем IoT-шлюзе установлена операционная система с поддержкой SRM, каждый RPM-пакет, перед инсталляцией, нужно подписывать, даже если IMA-безопасность не используется. Из этого материала вы узнаете о том, как подписывать и устанавливать RPM-пакеты в операционных системах шлюзов с включенным и выключенным SRM.

Шлюзы Intel для интернета вещей: подписываем и устанавливаем RPM-пакеты - 1


То, о чём мы здесь расскажем, применимо к IoT-шлюзам Intel, основанным на процессорах Intel Atom, Intel Core и Intel Quark. Освоив это руководство, вы научитесь работать с RPM-пакетами. А именно, подписывать их, устанавливать, деинсталлировать. Так же мы рассмотрим сборку ОС для шлюзов и работу с ключами.

Ожидается, что читатель этого материала обладает следующими знаниями и навыками:

  • Исполнение команд Linux.
  • Создание, правка, исполнение скриптов.
  • Установка и настройка программного обеспечения для Linux
  • Использование эмулятора терминала, наподобие Putty, при наличии соединения между компьютерами по последовательному интерфейсу.

Здесь, под термином «шлюз» мы будем понимать «Шлюз Intel для Интернета вещей» («Intel IoT Gateway»). «Компьютер» – это Linux-система (предпочтительно – с Ubuntu 14.0.4 Base), которая используется для разработки приложений, предназначенных для шлюзов.

Так будут выделены команды, названия API, параметры, имена обычных и исполняемых файлов, пути в файловой системе.

Полужирный шрифт применяется для выделения упоминаний элементов пользовательского интерфейса, экранных кнопок и названий клавиш на клавиатуре.

Блоки текста, выделенные таким шрифтом – это команды, которые вам нужно будет ввести с клавиатуры или добавить в файл скрипта.

А так выделены блоки текста, демонстрирующие реакцию системы на выполнение скрипта или исполнение команды, введённой с клавиатуры.

Для того, чтобы испытать на практике то, о чём пойдёт речь, у вас должен быть подготовленный к работе шлюз. На компьютере должна быть развёрнута среда разработки Wind River.

SRM в операционной системе шлюза

Рассмотрим, как собрать и установить на шлюзе операционную систему с включенной функцией безопасности (SRM). Когда безопасность включена, перед установкой RPM-пакетов на шлюз их нужно подписывать. Для начала модифицируем скрипт конфигурации операционной системы шлюза.

  1. При установке среды разработки на компьютер был создан скрипт config.sh, который расположен в папке $HOME/Project. Отредактируйте этот скрипт следующим образом:

    Включите в него это:

    --with-layer=wr-ima-appraise
    --without-layer=wr-mcafee

    Найдите и удалите следующее:

    wr-ima-appraise из выражения --without-layer=.
    wr-mcafee
    из выражения --with-layer=.

  2. Сохраните и закройте файл config.sh
  3. Запустите config.sh

Теперь соберём операционную систему шлюза. Для этого в папке $HOME/Projects нужно выполнить такую команду:

make fs

Обратите внимание на то, что на выполнение команды, которая собирает образ операционной системы для установки на шлюз, может потребоваться несколько часов. Всё зависит от мощности компьютера, который применяется для разработки.

Переносим образа ОС на флэш-диск

Скопируем собранный образ на загрузочный флэш-диск. Его ёмкость должна быть, как минимум, 4 Гб. При этом учитывайте, что при записи образа ОС все данные с диска будут удалены.

  1. Выведите список накопителей компьютера:
    ls /dev/sd?

  2. Подключите USB-диск к компьютеру.
  3. Снова выполните команду из шага №1 и сравните её результаты с теми, что были получены до подключения диска. Нужно это для того, чтобы определить, как в системе отображается новый флэш-диск:
    ls /dev/sd?

    Вот, как выглядит выполнение вышеописанной последовательности действий.

    Шлюзы Intel для интернета вещей: подписываем и устанавливаем RPM-пакеты - 2
    Вывод списка устройств хранения данных, подключённых к компьютеру

    На следующем шаге вам понадобится знать имя USB-диска в системе. В нашем случае это — /dev/sdb.

  4. Перейдите в папку $HOME/Project:
    cd $HOME/Project

  5. Разверните образ ОС шлюза на USB-диске. Скомпилированный файл операционной системы имеет имя, соответствующее типу процессора шлюза. Используйте команду, подходящую для того шлюза, на который планируется установить ОС, при этом замените ??? на имя флэш-диска, выясненное выше. Запись образа занимает около 15 минут.

    Команда для шлюзов с процессором Intel Atom:

    sudo ./deploy.sh -u -f export/intel-baytrail-64-idp-idp-dist.tar.bz2 -d /dev/??? -y; sync
    

    Команда для шлюзов с процессором Intel Core:

    sudo ./deploy.sh -u -f export/intel-haswell-64-idp-idp-dist.tar.bz2 -d /dev/??? -y; sync

    Команда для шлюзов с процессором Intel Quark:

    sudo ./deploy.sh -u -f export/intel-quark-idp-idp-dist.tar.bz2 -d /dev/??? -y -u -b cross-hill; sync
    

  6. Если будет нужно, введите пароль и нажмите ОК. Когда вы увидите сообщение DONE!, это будет означать, что загрузочный USB-диск создан.
  7. Отключите диск от компьютера и подключите его снова. Он, после монтирования, будет выглядеть как два раздела, один из которых доступен по адресу
     /media/<username>/wr_usb_boot
    

  8. Скопируйте файл образа операционной системы шлюза на флэш-диск с помощью подходящей команды. При этом, замените username на имя пользователя, под которым работаете в Linux.
    Команда для шлюзов с процессором Intel Atom:

    sudo cp export/intel-baytrail-64-idp-idp-dist.tar.bz2 /media/<username>/wr_usb_boot/opt/; sync
    

    Команда для шлюзов с процессором Intel Core:

    sudo cp export/intel-haswell-64-idp-idp-dist.tar.bz2 /media/<username>/wr_usb_boot/opt/; sync
    

    Команда для шлюзов с процессором Intel Quark:

    sudo cp export/intel-quark-idp-idp-dist.tar.bz2 /media/<username>/wr_usb_boot/opt/; sync
    

  9. Отключите флэш-диск от компьютера

Устанавливаем ОС на шлюз

Теперь установим операционную систему на шлюз. Обратите внимание на то, что перед загрузкой шлюза с флэш-диска нужно внести соответствующие изменения в BIOS. Здесь, в разделе «Appendix: Setup BIOS Boot from USB», можно найти подробности об этом. Когда шлюз будет готов к загрузке с внешнего носителя, выполните следующие шаги:

  1. Отключите питание шлюза, подключите к нему USB-диск и включите питание. Войдите в систему с именем пользователя root и таким же паролем.
  2. Установите операционную систему на шлюз с помощью подходящей команды:

    Команда для шлюзов с процессором Intel Atom и Intel Core:

    tgt=/dev/sda /sbin/reset_media
    

    Команда для шлюзов с процессором Intel Quark:

    /sbin/reset_media
    

    На вопрос Restore the boot media to its factory defaults ответьте yes. Установка может занять около 20 минут.
    Если вы столкнётесь с сообщением об ошибке следующего содержания: ERROR: Unmount /dev/sda1 failed!, это означает, что шлюз не смог загрузиться с флэш-диска. Проверьте порядок загрузки и параметры UEFI для того, чтобы выяснить, является ли первым загрузочным устройством внешний накопитель.

  3. Сообщение DONE! будет означать, что установка ОС завершена. Выключите шлюз такой командой:
    poweroff
    

  4. Отключите USB-накопитель от шлюза и включите питание устройства.
    Если на данном этапе вы столкнётесь с сообщением об ошибке, например, с таким: Reboot and select proper boot device, проверьте настройки BIOS шлюза. А именно, нужно, чтобы на первом месте в списке загрузки был встроенный накопитель.

  5. Войдите в систему, использовав, в качестве имени пользователя и пароля, root.

Собираем незащищённый RPM-пакет

Создадим проект, который включает в себя незащищённый RPM-пакет. Назовём его hello. Так как в этом пакете безопасность (SRM) отключена, его можно использовать для того, чтобы поэкспериментировать с подписями.

Следующие действия нужно выполнить на компьютере.

  1. Создайте директорию для проекта:
    mkdir -p $HOME/project_nosrm
    cd $HOME/project_nosrm
    
  2. Выберите команду, соответствующую шлюзу, которым пользуетесь, и, скопировав её в командную строку Linux, исполните. Это настроит среду разработки на сборку учебного пакета без SRM.

    Команда для шлюзов с процессором Intel Atom:

    $HOME/WindRiver/wrlinux-7/wrlinux/configure --enable-addons=wr-idp --enableboard=intel-baytrail-64 --enable-kernel=idp --enable-rootfs=idp --with-layer=wriot,wr-wks-oneagent-oma-dm-ia --with-template=feature/recovery,feature/openjdkbin,feature/realtek --without-layer=wr-srm
    

    Команда для шлюзов с процессором Intel Core:

    $HOME/WindRiver/wrlinux-7/wrlinux/configure --enable-addons=wr-idp --enableboard=intel-haswell-64 --enable-kernel=idp --enable-rootfs=idp --with-layer=wriot,wr-wks-oneagent-oma-dm-ia --with-template=feature/recovery,feature/openjdkbin,feature/realtek --without-layer=wr-srm
    

    Команда для шлюзов с процессором Intel Quark:

    $HOME/WindRiver/wrlinux-7/wrlinux/configure --enable-addons=wr-idp --enableboard=intel-quark --enable-kernel=idp --enable-rootfs=idp --with-layer=wr-iot,wrwks-oneagent-oma-dm-ia --with-template=feature/recovery,feature/openjdkbin,feature/realtek --without-layer=wr-srm
    
  3. Соберите пакет hello:
    make -C build hello
    

    Пакет будет собран и сохранён.

  4. Точное имя папки и файла пакета будет отличаться в зависимости от шлюза, для которого этот пакет готовился. Выясните имя и расположение пакета, сделать это можно так:
    cd $HOME/project_nosrm/bitbake_build/
    find . -name hello*.rpm
    

    Запишите то, что удалось узнать. Эти сведения понадобятся нам в следующем разделе. Там мы скопируем пакет hello в три папки и разберёмся с тем, как правильно подписывать пакеты.

Копии пакета и правильный ключ

Создадим три папки, в которые нужно будет скопировать пакет hello. В одну из них поместим ключи, которые нужны для того, чтобы подписать пакет. Мы, в учебных целях, рассмотрим не только правильный способ подписывания и установки пакетов, но и неправильный.

Следующие действия нужно выполнить на компьютере.

  1. Создайте директории, которые будут использоваться для экспериментов с подписанным, неподписанным и неправильно подписанным пакетом. У них, соответственно, будут такие имена: goodkeys, notsigned, badkeys. А располагаться они будут в папке rpmtest.
    cd $HOME/project_nosrm/
    mkdir rpmtest
    mkdir rpmtest/notsigned
    mkdir rpmtest/badkeys
    mkdir rpmtest/goodkeys
    

  2. Скопируйте неподписанный пакет hello в каждую из папок. Вводя команды, замените [RPM directory] и [hello file] на соответствующие имена папки и файла пакета из вашего проекта:
    cp $HOME/Project/bitbake_build/tmp/deploy/[RMP directory]/[hello file].rpm rpmtest/notsigned
    cp $HOME/Project/bitbake_build/tmp/deploy/[RMP directory]/[hello file].rpm rpmtest/badkeys
    cp $HOME/Project/bitbake_build/tmp/deploy/[RMP directory]/[hello file].rpm rpmtest/goodkeys
    

  3. В результате выполнения операций, описанных в разделе «SRM в операционной системе шлюза», вы, кроме прочего, создали правильные ключи (сертификаты), которые подходят для того, чтобы подписывать ими пакеты. Скопируйте эти ключи в папку goodkeys.
    cp $HOME/Project/layers/wr-idp/wr-srm/files/keys/*.pem rpmtest/goodkeys
    

  4. Проверьте, действительно ли файлы с ключами были скопированы в папку. А именно, там должно быть пять необходимых для дальнейшей работы файлов: RPM-файл пакета, два ключа (сертификата) владельца (owner keys) и два ключа поставщика (vendor keys). Выполните такую команду:
    ls -1 rpmtest/goodkeys
    

    Если всё сделано так, как нужно, она должна выдать следующий список файлов:
    [hello file].rpm
    owner-cert.pem
    owner-private.pem
    vendor-cert.pem
    vendor-private.pem

    В итоге, на данном этапе у вас должно получиться следующее:

    — Папки notsigned и badkeys содержат пакет hello, но файлов с ключами в них нет.
    — Папка goodkeys содержит пакет hello и правильные файлы ключей. При этом пакет пока не подписан.

Создаём ключи

В разделе «SRM в операционной системе шлюза» были созданы ключи, которые подходят для подписывания RPM-пакетов. В предыдущем разделе мы скопировали эти ключи и пакет hello в папку $HOME/project_nonsrm/rpmtest/goodkeys.

Сейчас создадим собственный набор ключей, которые поместим в папку badkeys. И, хотя эти ключи являются вполне нормальными, они не подходят для подписывания пакета, поэтому мы считаем их «неправильными». Цель создания этих ключей заключается в том, чтобы вы увидели, что произойдёт, если воспользоваться неподходящими ключами для подписывания пакета.

Следующие действия нужно выполнить на компьютере.

  1. Средство для работы с ключами находится в папке проекта $HOME/Project, в котором используется SRM. В папке проекта, в котором SRM не применяется, создайте символьную ссылку на средство для работы с ключами:
    cd $HOME/project_nonsrm/rpmtest
    ln -s $HOME/Project/SST SST
    

  2. Создайте ключ владельца и поместите его в папку $HOME/project_nonsrm/rpmtest/badkeys. Этот вполне рабочий ключ, но он не подходит для подписывания RPM-пакета.
    ./SST create-key --role=owner --name=badowner --output-dir=./badkeys/
    

  3. Создайте ключ поставщика и поместите его в ту же папку:
    ./SST create-key --role=vendor --issuer=badowner --name=badvendor --output-dir=./
    badkeys
    

  4. Проверьте, содержит ли папка $HOME/project_nonsrm/rpmtest/badkeys все необходимые файлы:
    ls -1 ./badkeys
    Если всё сделано правильно, команда выдаст следующий список:

    badowner-cert.pem
    badowner-private.pem
    badvendor-cert.pem
    badvendor-private.pem
    [hello file].rpm

    Вот, что теперь у нас есть:

    — Пакет hello и ключи, подходящие для его подписывания в папке goodkeys.
    — Пакет hello и неподходящие ключи в папке badkeys.
    — Пакет hello в папке notsigned без каких-либо ключей.

    Наш пакет всё ещё не подписан, займёмся этим в следующем разделе.

Подписываем RPM-пакет

Пакеты подписывают закрытым ключом поставщика, и, когда пакет устанавливают на шлюз, вместе с ними устанавливается и ключ vendor-cert.pem. Он используется для проверки подписи. Сейчас мы, с помощью команды SST sign-rpm, подпишем пакеты, расположенные в папках с неподходящими и подходящими ключами.

  1. Перейдите в папку, которая содержит пакет и неподходящие ключи:
    cd $HOME/project_nosrm/rpmtest/badkeys
    

  2. Подпишите пакет hello, который находится в этой папке, с помощью неподходящего ключа, заменив в команде, приведённой ниже, [hello file] на имя файла пакета:
    ../SST sign-rpm --mode=rpm --priv-key=badvendor-private.pem ./[hello file].rpm
    

  3. Перейдите в папку с подходящими ключами:
    cd $HOME/project_nosrm/rpmtest/goodkeys
    

  4. Подпишите с их помощью пакет, находящийся в той же папке:
    ../SST sign-rpm --mode=rpm --priv-key=badvendor-private.pem ./[hello file].rpm
    

  5. Так как символьная ссылка на средство для работы с ключами больше не нужна, удалите её.
    cd $HOME/project_nosrm/rpmtest
    rm SST
    

  6. Подключите к компьютеру USB-диск.
  7. На данном этапе имеются следующие файлы и папки:

    — Пакет hello, подписанный подходящим ключом в папке goodkeys.
    — Пакет hello, подписанный неподходящим ключом в папке badkeys.
    — Неподписанный пакет hello в папке notsigned.

    Поместите все три папки в tar-архив и скопируйте его на USB-диск. В данном примере USB-диск смонтирован как /media/rpmflash. Отредактируйте команды, приведённые ниже, в соответствии с тем, как диск отображается в вашей системе.

    cd $HOME/project_nosrm
    tar czvf rpmtest.tar.gz rpmtest
    cp rpmtest.tar.gz /media/rpmflash
    

  8. Размонтируйте USB-диск, отключите его от компьютера и подключите к USB-порту шлюза.
  9. Скопируйте файл rpmtest.tar.gz на накопитель шлюза и распакуйте архив в той же директории, куда скопировали его. В данном примере USB-диск смонтирован как /media/sdb1, отредактируйте команду так, чтобы она соответствовала состоянию вашего шлюза:
    cd root
    cp /media/sdb1/rpmtest.tar.gz /root
    tar xzvf rpmtest.tar.gz
    

  10. Проверьте MD5-сигнатуры пакетов:
    cd rpmtest
    find . -name hello* -exec md5sum {} ;
    

    То, что получится у вас, будет похоже на вывод, показанный ниже, но сигнатуры будут другими. Самое главное – проверьте, чтобы все они были разными.

    2430f938a6f96a0eeff2459ccb7b4ee8 ./badkeys/[hello file].rpm
    0f631d629b8a7aa4c8e86ee13bdb9cfb ./notsigned/[hello file].rpm
    a83507c6f5b1eeec49b034a2aae44968 ./goodkeys[hello file].rpm

Устанавливаем пакеты

Рассмотрим установку пакетов на шлюз. Напомним, что в учебных целях мы пытаемся установить следующие пакеты:

  • Неподписанный пакет.
  • Пакет, подписанный неправильным ключом.
  • Пакет, подписанный правильным ключом.

Эти действия нужно выполнять на шлюзе.

  1. Попытайтесь установить неподписанный пакет, заменив [hello file], на то имя, которое дано вашему файлу:
    cd /root/rpmtest/notsigned
    rpm -ivh [hello file].rpm
    

    В результате выполнения этой команды будет выведено сообщение об ошибке:
    RPM [hello file].rpm is not signed with extend openssl signature

  2. Попытайтесь установить пакет, который подписан неверным ключом. Так же, как и в первом пункте, используйте в команде имя вашего .rpm-файла:
    cd /root/rpmtest/badkeys
    rpm -ivh [hello file].rpm
    

    На выходе снова получаем сообщение об ошибке, но уже другого содержания:

    MD5 Code:e91148db3dd3a5e0bdb76ea5a8fa8e34
    Can not find the right certificate for RPM [hello file].rpm

  3. Теперь установите правильно подписанный пакет.
    cd /root/rpmtest/goodkeys
    rpm -ivh [hello file].rpm
    

    В данном случае перед нами – сообщение об успешной установке.

    MD5 Code:e91148db3dd3a5e0bdb76ea5a8fa8e34
    Find right certificate: vendor-cert.pem
    Certificate vendor-cert.pem is verified successfully
    RPM package [hello file].rpm is verified successfully
    Preparing… ########################################### [100%]
    1:hello ########################################### [100%]
    Import IMA signatures successfully Update IMA signatures successfully

  4. Протестируйте установленный пакет:
    hello
    Если программа была успешно выполнена, вот что она выведет:
    Hello World

Деинсталлируем пакеты

Выше мы успешно установили правильно подписанный пакет. Теперь удалим его.

  1. Проверим, установлен ли пакет hello. В предыдущем разделе мы проверяли это, запуская программу, здесь поступим иначе:
    rpm -qa | grep hello
    

    Эта команда выведет имя пакета, что указывает на то, что он установлен.

  2. Удалим пакет:
    rpm -e hello
    

  3. Проверим, действительно ли пакет удалён:
    rpm -qa | grep hello
    hello
    

    Как и следовало ожидать, появилось сообщение об ошибке:
    -sh: hello: command not found

Сертификаты: получаем сведения, удаляем и устанавливаем

Рассмотрим методы работы с сертификатами на шлюзе.

  1. Выполните команду, которая выведет список сертификатов:
    imtools --listcert
    

    Она сообщит сертификате, который был скопирован в папку $HOME/project_nosrm/rpmtest/goodkeys в разделе «Копии пакета и правильный ключ».
    vendor-cert.pem

  2. Удалите сертификат:
    imtools --removecert vendor-cert.pem
    

    На выходе будет такое сообщение:
    Remove certificate vendor-cert.pem successfully

  3. Снова выведите список сертификатов для того, чтобы проверить, действительно ли сертификат был удалён:
    imtools –listcert
    

    Так как сертификат удалён, в результате выполнения команды ничего выведено не будет.

  4. Проверьте, можно ли установить сертификат из папки $HOME/project_nosrm/rpmtest/goodkeys. Если это так – установите его.
    cd /root/rpmtest/goodkeys 
    imtools --verifycert vendor-cert.pem
    

    Эта пара команд выведет сообщения об успешной проверке и установке сертификата:

    Certificate vendor-cert.pem is verified successfully
    Certificate vendor-cert.pem is installed successfully

Итоги

Вот, что вы узнали, изучив этот материал:

  • Как включать поддержку SRM на шлюзе.
  • Как создавать проект для подготовки RPM-пакета с отключенным SRM для целей тестирования.
  • Как создать подписанный, неподписанный и подписанный неправильно пакеты для того, чтобы проверить реакцию ОС шлюза на установку таких пактов.
  • Как инсталлировать и деинсталлировать пакеты на шлюз.
  • Как просматривать, добавлять и удалять сертификаты на шлюзе.

Автор: Intel

Источник

Поделиться новостью

* - обязательные к заполнению поля