物理节点的安全启动和启动完整性
了解 VergeOS 的启动完整性保护，以及为什么物理节点不使用传统的 UEFI 安全启动。
概述
VergeOS 在启动安全方面采用了不同于传统 UEFI 安全启动的方法。虽然 VergeOS 物理节点不使用 BIOS 级安全启动，但系统实现了自己的启动完整性机制，可为防篡改提供强有力的保护。
VergeOS 启动完整性保护
VergeOS 已实现自己的方法来确保启动完整性。该机制会在允许系统启动之前验证 VergeOS 镜像是否未被修改或篡改。
工作原理
当 VergeOS 节点启动时，系统会验证启动镜像的完整性。如果镜像以任何方式被篡改或修改，VergeOS 将拒绝启动。这可确保只有真实、未被修改的 VergeOS 软件运行在您的基础设施上。
与传统 UEFI 安全启动的比较
防篡改保护
阻止未签名/已修改的操作系统启动
阻止被篡改的 VergeOS 镜像启动
替代操作系统启动
完全阻止未签名的操作系统
不会阻止启动其他操作系统
实现方式
BIOS/固件级别，需要签名密钥
软件级验证
实用安全性
防止未授权的操作系统加载
防止 VergeOS 镜像被篡改
关键区别在于时机和范围：
UEFI 安全启动 在 BIOS 级别运行，甚至不会尝试启动未签名或未注册的操作系统
VergeOS 启动完整性 允许启动过程开始，但如果 VergeOS 镜像已被篡改，则不会完成启动
这意味着，虽然理论上有人可以在硬件上安装完全不同的操作系统，但他们无法修改 VergeOS 镜像本身并使其成功启动。对 VergeOS 系统文件的任何篡改都会被检测到并阻止启动。
为什么 VergeOS 不使用 UEFI 安全启动
传统 UEFI 安全启动存在若干挑战，使其对 VergeOS 来说不切实际：
认证要求
UEFI 安全启动要求操作系统使用已在系统固件中注册的密钥进行签名。此过程由少数把关者控制：
微软 掌控主要的安全启动密钥基础设施
只有少数 Linux 发行版注册了安全启动密钥（主要是 Red Hat 和 Ubuntu）
大多数支持安全启动的 Linux 发行版实际上是通过 Ubuntu 的已签名引导加载程序（shim）来引导，以加载它们自己的 GRUB 引导加载程序
实际限制
对于像 VergeOS 这样的专用操作系统，获取并维持安全启动认证将需要：
与证书颁发机构保持持续关系
每次更新都重新签名
处理潜在的密钥吊销场景
安全影响
实用安全性
对于大多数部署场景，VergeOS 启动完整性保护提供了与 UEFI 安全启动相当的实际安全性。您的 VergeOS 基础设施可免受镜像篡改的影响，而这正是生产环境中的主要关注点。
VergeOS 启动完整性可防护的威胁
修改 VergeOS 系统文件
将恶意代码注入 VergeOS 镜像
在 VergeOS 安装后篡改启动过程
需要物理安全控制的情况
安装完全不同的操作系统（需要物理访问和存储重置）
BIOS/固件级攻击（可通过物理安全和固件密码缓解）
禁用 UEFI 安全启动
在物理节点上安装 VergeOS 之前，您必须在系统 BIOS/UEFI 设置中禁用 UEFI 安全启动。具体步骤因硬件厂商而异，但通常包括：
在系统启动期间进入 BIOS/UEFI 设置（通常为 F2、Del 或 F10）
导航到 Security 或 Boot 部分
找到 Secure Boot 选项并将其设置为 已禁用
保存更改并退出
继续安装 VergeOS
专业提示
在更改之前记录您的 BIOS 设置。一些企业服务器可能有与 Secure Boot 交互的其他安全设置，例如 TPM 配置或启动设备限制。
故障排除
常见问题
问题： 安装 VergeOS 后节点无法启动
解决方案： 请确认 BIOS 设置中已禁用 UEFI 安全启动。某些系统在固件更新后可能会重新启用安全启动。
问题： “启动完整性检查失败”错误消息
解决方案： 这表明 VergeOS 镜像已被修改。请从官方来源重新下载并重新安装 VergeOS。
问题： 在 BIOS 中找不到 Secure Boot 选项
解决方案： 请检查 Security、Boot 或 Authentication 菜单下。某些系统将其标记为“UEFI Security”，或者需要管理员/设置密码才能访问。
其他资源
反馈
最后更新于
这有帮助吗？