test/py/tests/test_efi_secboot/conftest.py

   1 # SPDX-License-Identifier:      GPL-2.0+
   2 # Copyright (c) 2019, Linaro Limited
   3 # Author: AKASHI Takahiro <takahiro.akashi@linaro.org>
   4
   5 """ Fixture for UEFI secure boot test """
   6
   7 from subprocess import call, check_call, CalledProcessError
   8 import pytest
   9 from defs import *
  10
  11 @pytest.fixture(scope='session')
  12 def efi_boot_env(request, u_boot_config):
  13     """Set up a file system to be used in UEFI secure boot test.
  14
  15     Args:
  16         request: Pytest request object.
  17         u_boot_config: U-boot configuration.
  18
  19     Return:
  20         A path to disk image to be used for testing
  21     """
  22     image_path = u_boot_config.persistent_data_dir
  23     image_path = image_path + '/test_efi_secboot.img'
  24
  25     try:
  26         mnt_point = u_boot_config.build_dir + '/mnt_efisecure'
  27         check_call('rm -rf {}'.format(mnt_point), shell=True)
  28         check_call('mkdir -p {}'.format(mnt_point), shell=True)
  29
  30         # suffix
  31         # *.key: RSA private key in PEM
  32         # *.crt: X509 certificate (self-signed) in PEM
  33         # *.esl: signature list
  34         # *.hash: message digest of image as signature list
  35         # *.auth: signed signature list in signature database format
  36         # *.efi: UEFI image
  37         # *.efi.signed: signed UEFI image
  38
  39         # Create signature database
  40         # PK
  41         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_PK/ -keyout PK.key -out PK.crt -nodes -days 365'
  42                    % mnt_point, shell=True)
  43         check_call('cd %s; %scert-to-efi-sig-list -g %s PK.crt PK.esl; %ssign-efi-sig-list -t "2020-04-01" -c PK.crt -k PK.key PK PK.esl PK.auth'
  44                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  45                    shell=True)
  46         # PK_null for deletion
  47         check_call('cd %s; touch PK_null.esl; %ssign-efi-sig-list -t "2020-04-02" -c PK.crt -k PK.key PK PK_null.esl PK_null.auth'
  48                    % (mnt_point, EFITOOLS_PATH), shell=True)
  49         # KEK
  50         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_KEK/ -keyout KEK.key -out KEK.crt -nodes -days 365'
  51                    % mnt_point, shell=True)
  52         check_call('cd %s; %scert-to-efi-sig-list -g %s KEK.crt KEK.esl; %ssign-efi-sig-list -t "2020-04-03" -c PK.crt -k PK.key KEK KEK.esl KEK.auth'
  53                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  54                    shell=True)
  55         # db
  56         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_db/ -keyout db.key -out db.crt -nodes -days 365'
  57                    % mnt_point, shell=True)
  58         check_call('cd %s; %scert-to-efi-sig-list -g %s db.crt db.esl; %ssign-efi-sig-list -t "2020-04-04" -c KEK.crt -k KEK.key db db.esl db.auth'
  59                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  60                    shell=True)
  61         # db1
  62         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_db1/ -keyout db1.key -out db1.crt -nodes -days 365'
  63                    % mnt_point, shell=True)
  64         check_call('cd %s; %scert-to-efi-sig-list -g %s db1.crt db1.esl; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key db db1.esl db1.auth'
  65                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  66                    shell=True)
  67         # dbx (TEST_dbx certificate)
  68         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_dbx/ -keyout dbx.key -out dbx.crt -nodes -days 365'
  69                    % mnt_point, shell=True)
  70         check_call('cd %s; %scert-to-efi-sig-list -g %s dbx.crt dbx.esl; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key dbx dbx.esl dbx.auth'
  71                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  72                    shell=True)
  73         # dbx_hash (digest of TEST_db certificate)
  74         check_call('cd %s; %scert-to-efi-hash-list -g %s -t 0 -s 256 db.crt dbx_hash.crl; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key dbx dbx_hash.crl dbx_hash.auth'
  75                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  76                    shell=True)
  77         check_call('cd %s; %scert-to-efi-hash-list -g %s -t 0 -s 384 db.crt dbx_hash384.crl; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key dbx dbx_hash384.crl dbx_hash384.auth'
  78                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  79                    shell=True)
  80         check_call('cd %s; %scert-to-efi-hash-list -g %s -t 0 -s 512 db.crt dbx_hash512.crl; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key dbx dbx_hash512.crl dbx_hash512.auth'
  81                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  82                    shell=True)
  83         # dbx_hash1 (digest of TEST_db1 certificate)
  84         check_call('cd %s; %scert-to-efi-hash-list -g %s -t 0 -s 256 db1.crt dbx_hash1.crl; %ssign-efi-sig-list -t "2020-04-06" -c KEK.crt -k KEK.key dbx dbx_hash1.crl dbx_hash1.auth'
  85                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
  86                    shell=True)
  87         # dbx_db (with TEST_db certificate)
  88         check_call('cd %s; %ssign-efi-sig-list -t "2020-04-05" -c KEK.crt -k KEK.key dbx db.esl dbx_db.auth'
  89                    % (mnt_point, EFITOOLS_PATH),
  90                    shell=True)
  91
  92         # Copy image
  93         check_call('cp %s/lib/efi_loader/helloworld.efi %s' %
  94                    (u_boot_config.build_dir, mnt_point), shell=True)
  95
  96         # Sign image
  97         check_call('cd %s; sbsign --key db.key --cert db.crt helloworld.efi'
  98                    % mnt_point, shell=True)
  99         # Sign already-signed image with another key
 100         check_call('cd %s; sbsign --key db1.key --cert db1.crt --output helloworld.efi.signed_2sigs helloworld.efi.signed'
 101                    % mnt_point, shell=True)
 102         # Create a corrupted signed image
 103         check_call('cd %s; sh %s/test/py/tests/test_efi_secboot/forge_image.sh helloworld.efi.signed helloworld_forged.efi.signed'
 104                    % (mnt_point, u_boot_config.source_dir), shell=True)
 105         # Digest image
 106         check_call('cd %s; %shash-to-efi-sig-list helloworld.efi db_hello.hash; %ssign-efi-sig-list -t "2020-04-07" -c KEK.crt -k KEK.key db db_hello.hash db_hello.auth'
 107                    % (mnt_point, EFITOOLS_PATH, EFITOOLS_PATH),
 108                    shell=True)
 109         check_call('cd %s; %shash-to-efi-sig-list helloworld.efi.signed db_hello_signed.hash; %ssign-efi-sig-list -t "2020-04-03" -c KEK.crt -k KEK.key db db_hello_signed.hash db_hello_signed.auth'
 110                    % (mnt_point, EFITOOLS_PATH, EFITOOLS_PATH),
 111                    shell=True)
 112         check_call('cd %s; %ssign-efi-sig-list -t "2020-04-07" -c KEK.crt -k KEK.key dbx db_hello_signed.hash dbx_hello_signed.auth'
 113                    % (mnt_point, EFITOOLS_PATH),
 114                    shell=True)
 115
 116         check_call('virt-make-fs --partition=gpt --size=+1M --type=vfat {} {}'.format(
 117             mnt_point, image_path), shell=True)
 118         check_call('rm -rf {}'.format(mnt_point), shell=True)
 119
 120     except CalledProcessError as exception:
 121         pytest.skip('Setup failed: %s' % exception.cmd)
 122         return
 123     else:
 124         yield image_path
 125     finally:
 126         call('rm -f %s' % image_path, shell=True)
 127
 128 #
 129 # Fixture for UEFI secure boot test of intermediate certificates
 130 #
 131
 132
 133 @pytest.fixture(scope='session')
 134 def efi_boot_env_intca(request, u_boot_config):
 135     """Set up a file system to be used in UEFI secure boot test
 136     of intermediate certificates.
 137
 138     Args:
 139         request: Pytest request object.
 140         u_boot_config: U-boot configuration.
 141
 142     Return:
 143         A path to disk image to be used for testing
 144     """
 145     image_path = u_boot_config.persistent_data_dir
 146     image_path = image_path + '/test_efi_secboot_intca.img'
 147
 148     try:
 149         mnt_point = u_boot_config.persistent_data_dir + '/mnt_efi_secboot_intca'
 150         check_call('rm -rf {}'.format(mnt_point), shell=True)
 151         check_call('mkdir -p {}'.format(mnt_point), shell=True)
 152
 153         # Create signature database
 154         # PK
 155         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_PK/ -keyout PK.key -out PK.crt -nodes -days 365'
 156                    % mnt_point, shell=True)
 157         check_call('cd %s; %scert-to-efi-sig-list -g %s PK.crt PK.esl; %ssign-efi-sig-list -c PK.crt -k PK.key PK PK.esl PK.auth'
 158                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 159                    shell=True)
 160         # KEK
 161         check_call('cd %s; openssl req -x509 -sha256 -newkey rsa:2048 -subj /CN=TEST_KEK/ -keyout KEK.key -out KEK.crt -nodes -days 365'
 162                    % mnt_point, shell=True)
 163         check_call('cd %s; %scert-to-efi-sig-list -g %s KEK.crt KEK.esl; %ssign-efi-sig-list -c PK.crt -k PK.key KEK KEK.esl KEK.auth'
 164                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 165                    shell=True)
 166
 167         # We will have three-tier hierarchy of certificates:
 168         #   TestRoot: Root CA (self-signed)
 169         #   TestSub: Intermediate CA (signed by Root CA)
 170         #   TestCert: User certificate (signed by Intermediate CA, and used
 171         #             for signing an image)
 172         #
 173         # NOTE:
 174         # I consulted the following EDK2 document for certificate options:
 175         #     BaseTools/Source/Python/Pkcs7Sign/Readme.md
 176         # Please not use them as they are in product system. They are
 177         # for test purpose only.
 178
 179         # TestRoot
 180         check_call('cp %s/test/py/tests/test_efi_secboot/openssl.cnf %s'
 181                    % (u_boot_config.source_dir, mnt_point), shell=True)
 182         check_call('cd %s; export OPENSSL_CONF=./openssl.cnf; openssl genrsa -out TestRoot.key 2048; openssl req -extensions v3_ca -new -x509 -days 365 -key TestRoot.key -out TestRoot.crt -subj "/CN=TEST_root/"; touch index.txt; touch index.txt.attr'
 183                    % mnt_point, shell=True)
 184         # TestSub
 185         check_call('cd %s; touch serial.new; export OPENSSL_CONF=./openssl.cnf; openssl genrsa -out TestSub.key 2048; openssl req -new -key TestSub.key -out TestSub.csr -subj "/CN=TEST_sub/"; openssl ca -in TestSub.csr -out TestSub.crt -extensions v3_int_ca -days 365 -batch -rand_serial -cert TestRoot.crt -keyfile TestRoot.key'
 186                    % mnt_point, shell=True)
 187         # TestCert
 188         check_call('cd %s; touch serial.new; export OPENSSL_CONF=./openssl.cnf; openssl genrsa -out TestCert.key 2048; openssl req -new -key TestCert.key -out TestCert.csr -subj "/CN=TEST_cert/"; openssl ca -in TestCert.csr -out TestCert.crt -extensions usr_cert -days 365 -batch -rand_serial -cert TestSub.crt -keyfile TestSub.key'
 189                    % mnt_point, shell=True)
 190         # db
 191         #  for TestCert
 192         check_call('cd %s; %scert-to-efi-sig-list -g %s TestCert.crt TestCert.esl; %ssign-efi-sig-list -c KEK.crt -k KEK.key db TestCert.esl db_a.auth'
 193                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 194                    shell=True)
 195         #  for TestSub
 196         check_call('cd %s; %scert-to-efi-sig-list -g %s TestSub.crt TestSub.esl; %ssign-efi-sig-list -t "2020-07-16" -c KEK.crt -k KEK.key db TestSub.esl db_b.auth'
 197                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 198                    shell=True)
 199         #  for TestRoot
 200         check_call('cd %s; %scert-to-efi-sig-list -g %s TestRoot.crt TestRoot.esl; %ssign-efi-sig-list -t "2020-07-17" -c KEK.crt -k KEK.key db TestRoot.esl db_c.auth'
 201                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 202                    shell=True)
 203         ## dbx (hash of certificate with revocation time)
 204         #  for TestCert
 205         check_call('cd %s; %scert-to-efi-hash-list -g %s -t "2020-07-20" -s 256 TestCert.crt TestCert.crl; %ssign-efi-sig-list -c KEK.crt -k KEK.key dbx TestCert.crl dbx_a.auth'
 206                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 207                    shell=True)
 208         #  for TestSub
 209         check_call('cd %s; %scert-to-efi-hash-list -g %s -t "2020-07-21" -s 256 TestSub.crt TestSub.crl; %ssign-efi-sig-list -t "2020-07-18" -c KEK.crt -k KEK.key dbx TestSub.crl dbx_b.auth'
 210                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 211                    shell=True)
 212         #  for TestRoot
 213         check_call('cd %s; %scert-to-efi-hash-list -g %s -t "2020-07-22" -s 256 TestRoot.crt TestRoot.crl; %ssign-efi-sig-list -t "2020-07-19" -c KEK.crt -k KEK.key dbx TestRoot.crl dbx_c.auth'
 214                    % (mnt_point, EFITOOLS_PATH, GUID, EFITOOLS_PATH),
 215                    shell=True)
 216
 217         # Sign image
 218         # additional intermediate certificates may be included
 219         # in SignedData
 220
 221         check_call('cp %s/lib/efi_loader/helloworld.efi %s' %
 222                    (u_boot_config.build_dir, mnt_point), shell=True)
 223         # signed by TestCert
 224         check_call('cd %s; %ssbsign --key TestCert.key --cert TestCert.crt --out helloworld.efi.signed_a helloworld.efi'
 225                    % (mnt_point, SBSIGN_PATH), shell=True)
 226         # signed by TestCert with TestSub in signature
 227         check_call('cd %s; %ssbsign --key TestCert.key --cert TestCert.crt --addcert TestSub.crt --out helloworld.efi.signed_ab helloworld.efi'
 228                    % (mnt_point, SBSIGN_PATH), shell=True)
 229         # signed by TestCert with TestSub and TestRoot in signature
 230         check_call('cd %s; cat TestSub.crt TestRoot.crt > TestSubRoot.crt; %ssbsign --key TestCert.key --cert TestCert.crt --addcert TestSubRoot.crt --out helloworld.efi.signed_abc helloworld.efi'
 231                    % (mnt_point, SBSIGN_PATH), shell=True)
 232
 233         check_call('virt-make-fs --partition=gpt --size=+1M --type=vfat {} {}'.format(mnt_point, image_path), shell=True)
 234         check_call('rm -rf {}'.format(mnt_point), shell=True)
 235
 236     except CalledProcessError as e:
 237         pytest.skip('Setup failed: %s' % e.cmd)
 238         return
 239     else:
 240         yield image_path
 241     finally:
 242         call('rm -f %s' % image_path, shell=True)