Отключение IMA: Отключить подпись

> /run/protector_disabled
rm -f /etc/protector_enabled

Описание

Инструкция по отключению IMA (Integrity Measurement Architecture) и подписи файлов в системе. Процедура включает отключение защиты, редактирование конфигурации GRUB, отключение службы integrity-watcher и перезагрузку системы.

Внимание: Отключение IMA снижает уровень безопасности системы. Выполняйте эту процедуру только при необходимости и в контролируемых условиях. {.is-warning}

Процедура отключения IMA

Шаг 1: Отключение защиты

Отключите защиту для обеспечения видимости директории /boot/grub:

> /run/protector_disabled
rm -f /etc/protector_enabled

Команды:

• > /run/protector_disabled — создание файла для отключения защиты
• rm -f /etc/protector_enabled — удаление файла, включающего защиту

Примечание: Команда > /run/protector_disabled создает пустой файл, который сигнализирует системе об отключении защиты. {.is-info}

Шаг 2: Редактирование конфигурации GRUB

Откройте файл конфигурации GRUB для редактирования:

Для EFI систем:

vim /boot/grub/EFI/grub/grub.cfg

Для MBR систем:

vim /boot/grub/grub.cfg

Примечание: Путь к файлу grub.cfg зависит от типа загрузки системы (EFI или MBR). Для EFI систем путь: /boot/grub/EFI/grub/grub.cfg, для MBR систем: /boot/grub/grub.cfg. {.is-info}

Шаг 3: Изменение параметра IMA

В файле grub.cfg найдите параметр ima_appraise=enforce и измените его на:

Изменение:

• Было: ima_appraise=enforce
• Стало: ima_appraise=off

Важно: Параметр ima_appraise контролирует режим оценки целостности файлов. Значение enforce включает строгую проверку, off — отключает проверку. {.is-warning}

Шаг 4: Сохранение файла

Сохраните изменения в файле:

В vim:

• Нажмите Esc для выхода из режима редактирования
• Введите :wq для сохранения и выхода
• Или :x для сохранения и выхода

В других редакторах:

• Используйте стандартные команды сохранения вашего редактора

Шаг 5: Отключение службы integrity-watcher

Остановите и отключите службу integrity-watcher:

systemctl stop integrity-watcher.service
systemctl disable integrity-watcher.service

Команды:

• systemctl stop — остановить службу
• systemctl disable — отключить автозапуск службы

Примечание: Служба integrity-watcher.service отслеживает целостность файлов. Её отключение необходимо для полного отключения IMA. {.is-info}

Шаг 6: Перезагрузка системы

Перезагрузите систему для применения изменений:

reboot

Или:

systemctl reboot

Важно: После перезагрузки изменения в конфигурации GRUB вступят в силу, и IMA будет отключен. {.is-warning}

Полная последовательность команд

# 1. Отключение защиты
> /run/protector_disabled
rm -f /etc/protector_enabled

# 2. Редактирование GRUB (EFI)
vim /boot/grub/EFI/grub/grub.cfg
# Или для MBR:
# vim /boot/grub/grub.cfg

# 3. В файле изменить: ima_appraise=enforce -> ima_appraise=off
# 4. Сохранить файл

# 5. Отключение службы integrity-watcher
systemctl stop integrity-watcher.service
systemctl disable integrity-watcher.service

# 6. Перезагрузка
reboot

Примеры использования

Пример 1: Отключение IMA на EFI системе

# Отключение защиты
> /run/protector_disabled
rm -f /etc/protector_enabled

# Редактирование GRUB
vim /boot/grub/EFI/grub/grub.cfg
# Изменить: ima_appraise=enforce -> ima_appraise=off

# Отключение службы
systemctl stop integrity-watcher.service
systemctl disable integrity-watcher.service

# Перезагрузка
reboot

Пример 2: Отключение IMA на MBR системе

# Отключение защиты
> /run/protector_disabled
rm -f /etc/protector_enabled

# Редактирование GRUB
vim /boot/grub/grub.cfg
# Изменить: ima_appraise=enforce -> ima_appraise=off

# Отключение службы
systemctl stop integrity-watcher.service
systemctl disable integrity-watcher.service

# Перезагрузка
reboot

Пример 3: Использование sed для автоматического изменения

# Отключение защиты
> /run/protector_disabled
rm -f /etc/protector_enabled

# Автоматическое изменение параметра (EFI)
sed -i 's/ima_appraise=enforce/ima_appraise=off/g' /boot/grub/EFI/grub/grub.cfg

# Или для MBR:
# sed -i 's/ima_appraise=enforce/ima_appraise=off/g' /boot/grub/grub.cfg

# Отключение службы
systemctl stop integrity-watcher.service
systemctl disable integrity-watcher.service

# Перезагрузка
reboot

Определение типа загрузки системы

Проверка типа загрузки

# Проверка наличия EFI директории
ls -la /boot/grub/EFI/grub/grub.cfg

# Если файл существует — система использует EFI
# Если нет — система использует MBR

# Альтернативный способ
[ -d /sys/firmware/efi ] && echo "EFI" || echo "MBR"

Проверка результата

Проверка статуса защиты

# Проверка наличия файла отключения защиты
ls -la /run/protector_disabled

# Проверка отсутствия файла включения защиты
ls -la /etc/protector_enabled

Проверка параметра IMA в GRUB

# Для EFI
grep ima_appraise /boot/grub/EFI/grub/grub.cfg

# Для MBR
grep ima_appraise /boot/grub/grub.cfg

Должно быть: ima_appraise=off

Проверка статуса службы integrity-watcher

# Проверка статуса службы
systemctl status integrity-watcher.service

# Проверка, отключена ли служба
systemctl is-enabled integrity-watcher.service

Должно быть: disabled

Проверка параметров ядра после перезагрузки

# Проверка параметров IMA в загруженном ядре
cat /proc/cmdline | grep ima_appraise

Должно быть: ima_appraise=off

Важные замечания

Внимание: Отключение IMA снижает уровень безопасности системы. IMA (Integrity Measurement Architecture) обеспечивает проверку целостности файлов и защиту от модификации. Отключение этой защиты делает систему более уязвимой. {.is-warning}

Важно: Перед выполнением процедуры убедитесь, что у вас есть физический доступ к серверу или альтернативный способ доступа, так как после перезагрузки могут возникнуть проблемы с доступом. {.is-warning}

Примечание: Изменения в файле grub.cfg могут быть перезаписаны при обновлении GRUB. Если это произойдет, необходимо повторить процедуру редактирования файла. {.is-info}

Примечание: Некоторые системы могут использовать другие пути к файлу grub.cfg. Проверьте актуальный путь в вашей системе перед редактированием. {.is-info}

Восстановление IMA (включение обратно)

Если необходимо восстановить защиту IMA:

# Включение защиты
rm -f /run/protector_disabled
touch /etc/protector_enabled

# Редактирование GRUB
vim /boot/grub/EFI/grub/grub.cfg
# Или для MBR:
# vim /boot/grub/grub.cfg
# Изменить: ima_appraise=off -> ima_appraise=enforce

# Включение службы
systemctl enable integrity-watcher.service
systemctl start integrity-watcher.service

# Перезагрузка
reboot

Диагностика проблем

Проверка прав доступа к файлам

# Проверка прав на файл grub.cfg
ls -la /boot/grub/EFI/grub/grub.cfg
# Или для MBR:
# ls -la /boot/grub/grub.cfg

# Если нет прав, используйте sudo
sudo vim /boot/grub/EFI/grub/grub.cfg

Проверка наличия параметра IMA

# Поиск параметра в файле
grep -i ima_appraise /boot/grub/EFI/grub/grub.cfg

# Если параметр не найден, возможно, он находится в другом месте
grep -r ima_appraise /boot/grub/

Проверка статуса службы

# Подробный статус службы
systemctl status integrity-watcher.service

# Проверка логов службы
journalctl -u integrity-watcher.service -n 50

Связанные темы

• Настройка безопасности системы
• Работа с GRUB
• Управление системными службами
• IMA (Integrity Measurement Architecture)