IMA/EVM
Linux Bütünlük Ölçüm Mimarisi

# Ölçüm günlüğünü oku (her satır: PCR-sha256, template-hash, template-name, file-hash, filename)
cat /sys/kernel/security/ima/ascii_runtime_measurements | head -5

# Örnek çıktı:
# 10 abc123... ima-ng sha256:def456...::/usr/bin/sshd
# 10 bcd234... ima-ng sha256:ef5678...::/lib/x86_64-linux-gnu/libc.so.6

# PCR-10 mevcut değerini göster (tpm2-tools)
tpm2_pcrread sha256:10

CONFIG_INTEGRITY=y
CONFIG_IMA=y
CONFIG_IMA_MEASURE_PCR_IDX=10
CONFIG_IMA_NG_TEMPLATE=y
CONFIG_IMA_DEFAULT_TEMPLATE="ima-ng"
CONFIG_IMA_DEFAULT_HASH="sha256"
CONFIG_IMA_APPRAISAL=y
CONFIG_IMA_APPRAISAL_MODSIG=y
CONFIG_IMA_TRUSTED_KEYRING=y
CONFIG_IMA_KEYRINGS_PERMIT_SIGNED_BY_BUILTIN_OR_SECONDARY=y
CONFIG_EVM=y
CONFIG_EVM_ATTR_FSUUID=y
CONFIG_EVM_EXTRA_SMACK_XATTRS=n   # Smack kullanmıyorsanız
CONFIG_TRUSTED_KEYS=y             # TPM ile trusted key
CONFIG_ENCRYPTED_KEYS=y

# Genel biçim:
# action [condition ...] [template=TEMPLATE] [pcr=N]
#
# action: measure | dont_measure | appraise | dont_appraise | audit | dont_audit
# condition örnekleri:
#   func=FILE_CHECK | BPRM_CHECK | MMAP_CHECK | MODULE_CHECK | FIRMWARE_CHECK
#   mask=MAY_READ | MAY_WRITE | MAY_EXEC | MAY_APPEND
#   fsmagic=0xEF53  (ext4) | 0x6969 (nfs) | 0x9123683E (btrfs)
#   uid=0 | euid=0 | fowner=0
#   obj_type=exec_t  (SELinux)

# Tüm çalıştırmalar için ölçüm (root da dahil)
measure func=BPRM_CHECK mask=MAY_EXEC

# Kernel modülleri için ölçüm
measure func=MODULE_CHECK

# Firmware için ölçüm
measure func=FIRMWARE_CHECK

# Root tarafından okunan tüm dosyaları ölç
measure func=FILE_CHECK mask=MAY_READ uid=0

# /etc altındaki tüm dosyaları doğrula (appraisal)
appraise func=FILE_CHECK fowner=0 appraise_type=imasig

# NFS üzerindeki dosyaları ölçme (performans)
dont_measure fsmagic=0x6969

# tmpfs üzerindeki dosyaları appraisal'dan muaf tut
dont_appraise fsmagic=0x01021994

# İmzalı modülleri appraise et, diğerlerini reddet
appraise func=MODULE_CHECK appraise_type=imasig

# Politika dosyasını hazırla
cat /etc/ima/ima-policy.conf

# Kernel'e yükle (sadece bir kez yapılabilir; reboot gerekir değişiklik için)
sudo sh -c 'cat /etc/ima/ima-policy.conf > /sys/kernel/security/ima/policy'

# Yüklenen politikayı doğrula
cat /sys/kernel/security/ima/policy

# Kernel parametresi ile önyüklemede yükle
# /boot/cmdline: ima_policy=tcb ima_appraise=fix

# ima_appraise modu:
#   off   — appraisal devre dışı
#   log   — başarısızlığı logla, erişime izin ver
#   fix   — eksik xattr varsa yaz, doğrulama yapma (geçiş dönemi)
#   enforce — doğrulama zorunlu, başarısızlık = EACCES

# ima-evm-utils kurulumu
apt-get install ima-evm-utils   # Debian/Ubuntu

# Tekil dosya için hash hesapla ve xattr'a yaz
evmctl ima_hash /usr/bin/sshd

# Dosya sistemindeki tüm dosyalar için hash'leri yaz (fix modu)
# Önce ima_appraise=fix ile boot edin, sonra:
find / -fstype ext4 \( -type f -o -type l \) -exec evmctl ima_hash {} \; 2>/dev/null

# xattr içeriğini doğrula
getfattr -n security.ima --only-values -e hex /usr/bin/sshd
# Çıktı: 0x04 (NG tipi) + 0x04 (sha256) + hash_bytes

# evmctl ile doğrulama
evmctl ima_verify /usr/bin/sshd

# 1. IMA imzalama anahtarı oluştur
openssl genrsa -out ima-key.pem 4096
openssl req -new -x509 -key ima-key.pem \
  -out ima-cert.pem \
  -days 3650 \
  -subj "/CN=IMA Signing Key/O=MyOrg"

# 2. Dosyayı imzala
evmctl sign --imasig --key ima-key.pem /usr/bin/sshd

# 3. Sertifikayı kernel anahtarlığına ekle (önyükleme sırasında)
# initramfs içinde veya kernel komut satırında:
evmctl import ima-cert.pem $(keyctl show @.ima | awk '/ima/{print $1}')

# 4. Veya sertifikayı kernel'e göm (derleme zamanında)
# IMA_TRUSTED_KEYRING=y + sertifika DER olarak eklenir
openssl x509 -in ima-cert.pem -outform DER -out ima-cert.der
# certs/signing_key.pem ile birlikte kernel kaynak dizinine koy

# 5. Politikada imza zorunluluğu belirt
# appraise func=BPRM_CHECK appraise_type=imasig

# 1. TPM trusted key oluştur (kernel 5.0+)
# initramfs içinde veya boot script'te çalıştır:

# TPM'de yeni bir trusted key oluştur
keyctl add trusted evm-key "new 32" @s
EVM_KEYID=$(keyctl show @s | awk '/evm-key/{print $1}')

# Anahtarı blob olarak kaydet (her boot'ta TPM'den geri yüklemek için)
keyctl pipe $EVM_KEYID > /etc/keys/evm-trusted.blob

# 2. Alternatif: yazılım anahtarı (TPM yoksa, üretim için önerilmez)
keyctl add user evm-key "$(dd if=/dev/urandom bs=32 count=1 2>/dev/null | xxd -p)" @s

# 3. EVM'i etkinleştir
echo 1 > /sys/kernel/security/evm

# EVM etkinleştirme değerleri:
#   1 = HMAC (TPM trusted/encrypted key)
#   2 = Asimetrik imza doğrulaması
#   6 = Her ikisi (HMAC + asimetrik)

# Dosya sistemi için EVM HMAC değerlerini hesapla ve yaz
# (EVM anahtarı yüklenmiş ve EVM etkin olmalı)
evmctl sign --hmac /usr/bin/sshd

# Toplu imzalama (tüm dosya sistemi)
find / -fstype ext4 -type f -exec evmctl sign --hmac {} \; 2>/dev/null

# security.evm xattr içeriğini gör
getfattr -n security.evm --only-values -e hex /usr/bin/sshd

# EVM durumunu kontrol et
cat /sys/kernel/security/evm
# 3 = EVM_INIT_HMAC | EVM_INIT_X509 (her iki mod aktif)

# Kernel kaynak dizininde otomatik üretim (make modules_sign sırasında yapılır)
# Veya manuel:

# 1. Özel anahtar + kendi kendine imzalı sertifika
openssl req -new -x509 -newkey rsa:4096 \
  -keyout signing_key.pem \
  -out signing_cert.pem \
  -days 3650 \
  -subj "/CN=Kernel Module Signing Key" \
  -nodes

# 2. Modülü imzala (kernel scripts/sign-file kullanır)
scripts/sign-file sha256 signing_key.pem signing_cert.pem drivers/mydriver/mydriver.ko

# 3. İmzayı doğrula
modinfo mydriver.ko | grep signer
# signer: Kernel Module Signing Key

# 4. Sertifikayı kernel anahtarlığına göm
# Kconfig: CONFIG_MODULE_SIG_KEY="certs/signing_key.pem"
# Veya CONFIG_SYSTEM_EXTRA_CERTIFICATE ile ek sertifika ekle

# Yüklü modüllerin imza durumunu kontrol et
cat /proc/modules | awk '{print $1, $5}'
# E = imzalı, O = imzasız (out-of-tree), F = force-loaded

# IMA politikasına modül ölçüm kuralı ekle
measure func=MODULE_CHECK template=ima-modsig
appraise func=MODULE_CHECK appraise_type=imasig|modsig

# ima-modsig: modül içindeki yerleşik imzayı ölçüm günlüğüne ekler
# Bu sayede modülün dosya sistemi imzası + modül içi imzası birlikte izlenir

# /etc/dkms/framework.conf içine ekle:
sign_tool="/lib/modules/$(uname -r)/build/scripts/sign-file"
mok_signing_key="/var/lib/shim-signed/mok/MOK.priv"
mok_certificate="/var/lib/shim-signed/mok/MOK.der"

# MOK (Machine Owner Key) ile UEFI Secure Boot + DKMS entegrasyonu
mokutil --import MOK.der   # Reboot sonrası MOK Manager ile onayla

# meta-security layer'ı ekle (ima-evm-utils burada)
# bblayers.conf:
# BBLAYERS += "${BSPDIR}/sources/meta-security"

# Kernel konfigürasyon parçası oluştur
# meta-YOUR-layer/recipes-kernel/linux/linux-%.bbappend:
# SRC_URI += "file://ima-evm.cfg"

# ima-evm.cfg içeriği:
CONFIG_INTEGRITY=y
CONFIG_IMA=y
CONFIG_IMA_NG_TEMPLATE=y
CONFIG_IMA_DEFAULT_HASH="sha256"
CONFIG_IMA_APPRAISAL=y
CONFIG_IMA_TRUSTED_KEYRING=y
CONFIG_EVM=y
CONFIG_EVM_ATTR_FSUUID=y
CONFIG_TRUSTED_KEYS=y
CONFIG_ENCRYPTED_KEYS=y
CONFIG_MODULE_SIG=y
CONFIG_MODULE_SIG_FORCE=y
CONFIG_MODULE_SIG_SHA256=y

# Image recipe'ye ekle
IMAGE_INSTALL:append = " ima-evm-utils keyutils"

# IMA politika dosyasını kök dosya sistemine koy
IMAGE_INSTALL:append = " ima-policy"

# ima-policy recipe (meta-YOUR-layer/recipes-security/ima-policy/ima-policy.bb):
SUMMARY = "IMA runtime policy"
LICENSE = "MIT"
SRC_URI = "file://ima-policy.conf"

do_install() {
    install -d ${D}/etc/ima
    install -m 0644 ${WORKDIR}/ima-policy.conf ${D}/etc/ima/ima-policy.conf
}

# Initramfs içinde EVM anahtarı oluşturma (initramfs hook)
# /etc/initramfs-tools/scripts/init-bottom/evm-setup:
# keyctl add trusted evm-key "load $(cat /etc/keys/evm-trusted.blob | xxd -p | tr -d '\n')" @s
# echo 1 > /sys/kernel/security/evm

# Target packages -> Security -> ima-evm-utils
BR2_PACKAGE_IMA_EVM_UTILS=y
BR2_PACKAGE_KEYUTILS=y

# Kernel konfigürasyonu için:
# linux/linux.config dosyasına yukarıdaki CONFIG değerlerini ekle

# Post-image script ile imzalama (board/myboard/post-image.sh):
#!/bin/bash
ROOTFS="$1/rootfs.ext4"
MOUNT_DIR=$(mktemp -d)
mount -o loop "$ROOTFS" "$MOUNT_DIR"

find "$MOUNT_DIR" -type f \( -perm /111 -o -name "*.so*" \) | while read f; do
    evmctl ima_hash "$f" 2>/dev/null || true
done

umount "$MOUNT_DIR"
rmdir "$MOUNT_DIR"

# tpm2-tools ile PCR quote al

# 1. Attestation Key (AK) oluştur
tpm2_createek -c ek.ctx -G rsa -u ek.pub
tpm2_createak -C ek.ctx -c ak.ctx -u ak.pub -n ak.name

# 2. Nonce ile PCR-10 alıntısı al
NONCE="$(openssl rand -hex 20)"
tpm2_quote \
  --key-context ak.ctx \
  --pcr-list sha256:10 \
  --message pcr_quote.msg \
  --signature pcr_quote.sig \
  --qualification "$NONCE" \
  --pcrs_output pcr_values.out

# 3. IMA günlüğünü al
cp /sys/kernel/security/ima/ascii_runtime_measurements ima-log.txt

# 4. Sunucuya gönder (örn. curl ile)
curl -X POST https://attestation-server/api/attest \
  -F "quote=@pcr_quote.msg" \
  -F "sig=@pcr_quote.sig" \
  -F "imalog=@ima-log.txt" \
  -F "nonce=$NONCE"

import hashlib

def sha256(data: bytes) -> bytes:
    return hashlib.sha256(data).digest()

def pcr_extend(current_pcr: bytes, new_value: bytes) -> bytes:
    # TPM PCR extend: SHA-256(current || new)
    return sha256(current_pcr + new_value)

def verify_ima_log(log_lines: list[str], expected_pcr: bytes) -> bool:
    pcr = bytes(32)  # PCR başlangıç değeri: 32 sıfır byte
    for line in log_lines:
        parts = line.strip().split()
        if len(parts) < 2:
            continue
        template_hash_hex = parts[1]
        template_hash = bytes.fromhex(template_hash_hex)
        pcr = pcr_extend(pcr, template_hash)
    return pcr == expected_pcr

# 1. Politika ihlali sayısını izle
watch -n 1 cat /sys/kernel/security/ima/violations

# 2. Kernel log'unda IMA mesajlarını filtrele
dmesg | grep -i "ima:"
# Örnek: ima: appraise_measurement: <filename>: No such xattr
# Örnek: ima: appraise_measurement: <filename>: hash mismatch

# 3. Audit günlüğünde IMA olaylarını ara
ausearch -m INTEGRITY_DATA -ts recent
ausearch -m INTEGRITY_PCR -ts recent
# INTEGRITY_DATA: appraisal başarısızlığı
# INTEGRITY_PCR: PCR extend olayı

# 4. Belirli bir dosyanın xattr durumunu kontrol et
getfattr -n security.ima -e hex /usr/bin/sshd
getfattr -n security.evm -e hex /usr/bin/sshd

# 5. Dosyanın mevcut hash'ini hesapla ve xattr ile karşılaştır
sha256sum /usr/bin/sshd
evmctl ima_verify /usr/bin/sshd

# 6. IMA anahtarlığını kontrol et
keyctl show %keyring:.ima
keyctl show %keyring:.evm

# 7. Politika kurallarını yeniden yükle (geliştirme sırasında)
# Yükleme tek seferlik! Değişiklik için reboot gerekir.
# Test için: ima_appraise=log boot parametresiyle başlayın