digsig.rst

  1.. SPDX-License-Identifier: GPL-2.0
  2.. include:: ../disclaimer-zh_CN.rst
  3
  4:Original: Documentation/security/digsig.rst
  5
  6:翻译:
  7 赵硕 Shuo Zhao <zhaoshuo@cqsoftware.com.cn>
  8
  9===============
 10数字签名验证API
 11===============
 12
 13:作者: Dmitry Kasatkin
 14:日期: 2011.06.10
 15
 16
 17.. 内容
 18
 19   1.介绍
 20   2.API
 21   3.用户空间工具
 22
 23
 24介绍
 25====
 26
 27数字签名验证API提供了一种验证数字签名的方法。
 28目前，数字签名被IMA/EVM完整性保护子系统使用。
 29
 30数字签名验证是通过精简的GnuPG多精度整数(MPI)库的内核移植来实现的。
 31该内核版本提供了内存分配错误处理，已根据内核编码风格进行重构，并修复
 32了checkpatch.pl报告的错误和警告。
 33
 34公钥和签名由头部和MPIs组成::
 35
 36	struct pubkey_hdr {
 37		uint8_t		version;	/* 密钥格式版本 */
 38		time_t		timestamp;	/* 密钥时间戳，目前为0 */
 39		uint8_t		algo;
 40		uint8_t		nmpi;
 41		char		mpi[0];
 42	} __packed;
 43
 44	struct signature_hdr {
 45		uint8_t		version;	/* 签名格式版本 */
 46		time_t		timestamp;	/* 签名时间戳 */
 47		uint8_t		algo;
 48		uint8_t		hash;
 49		uint8_t		keyid[8];
 50		uint8_t		nmpi;
 51		char		mpi[0];
 52	} __packed;
 53
 54keyid等同对整个密钥的内容进行SHA1哈希运算后的第12到19字节。
 55签名头部用于生成签名的输入。这种方法确保了密钥或签名头部无法更改。
 56它保护时间戳不被更改，并可以用于回滚保护。
 57
 58API
 59===
 60
 61目前API仅包含一个函数::
 62
 63	digsig_verify() - 使用公钥进行数字签名验证
 64
 65	/**
 66	* digsig_verify() - 使用公钥进行数字签名验证
 67	* @keyring:   查找密钥的密钥环
 68	* @sig:       数字签名
 69	* @sigen:     签名的长度
 70	* @data:      数据
 71	* @datalen:   数据的长度
 72	* @return:    成功时返回0，失败时返回 -EINVAL
 73	*
 74	* 验证数据相对于数字签名的完整性。
 75	* 目前仅支持RSA算法。
 76	* 通常将内容的哈希值作为此函数的数据。
 77	*
 78	*/
 79	int digsig_verify(struct key *keyring, const char *sig, int siglen,
 80				  const char *data, int datalen);
 81
 82用户空间工具
 83============
 84
 85签名和密钥管理实用工具evm-utils提供了生成签名、加载密钥到内核密钥环中的功能。
 86密钥可以是PEM格式，或转换为内核格式。
 87当把密钥添加到内核密钥环时，keyid定义该密钥的名称：下面的示例中为5D2B05FC633EE3E8。
 88
 89以下是keyctl实用工具的示例输出::
 90
 91	$ keyctl show
 92	Session Keyring
 93	-3 --alswrv      0     0  keyring: _ses
 94	603976250 --alswrv      0    -1   \_ keyring: _uid.0
 95	817777377 --alswrv      0     0       \_ user: kmk
 96	891974900 --alswrv      0     0       \_ encrypted: evm-key
 97	170323636 --alswrv      0     0       \_ keyring: _module
 98	548221616 --alswrv      0     0       \_ keyring: _ima
 99	128198054 --alswrv      0     0       \_ keyring: _evm
100
101	$ keyctl list 128198054
102	1 key in keyring:
103	620789745: --alswrv     0     0 user: 5D2B05FC633EE3E8