intel - tboot 如何进行静态信任根测量，它会改变不同 Linux 内核的 PCR 12-PCR 14 值吗？

Question

我已经在 ubuntu 上使用这个命令 apt-get install tboot 安装了 tboot。实际上，我对 tboot 和受信任的 Grub 有一个疑问。受信任的 grub 执行 STRM（Measurement 的静态信任根）并更改 PCR 12 -PCR14 中的值。tboot 使用可信执行技术（Intel 的 TXT）技术进行 DRTM（Dynamic root of trust for Measurement）。它会将 PCR17 中的值更改为 PCR22。我想知道，如果 tboot 支持 SRTM，那么它还应该针对不同的 Linux 内核版本将 PCR 12 中的值更改为 PCR14。但是对于不同的 Linux 内核版本，tboot 仅将 PCR17 更改为 PCR22。tboot 可以同时提供 SRTM 和 DRTM 吗？

Answer 1

不。

SRTM 始终是您的固件。而且 tboot 本身也不是您的 DRTM。DRTM 是 SINIT 模块。Tboot 负责准备后期启动和从 SINIT 代码返回后充当您的 MLE，从而扩展您的动态信任链。