Objectif

L'objectif de cet article est d'expliquer le processus de démarrage sécurisé, une méthode de démarrage avec seulement des logiciels de confiance. Cette fonctionnalité est activée à partir de la version 2.4.0.91 du micrologiciel.

Si vous ne connaissez pas les termes utilisés ci-dessous, consultez Cisco Business : Glossaire des nouveaux termes.

Périphériques pertinents

- SX350X

- SX550X

Version du logiciel

- 2.4.0.91

Introduction

Secure Boot est un moyen de charger et d'exécuter une image sécurisée à l'aide d'une chaîne de confiance pour éviter de charger des logiciels non fiables. Une chaîne de confiance est établie en attribuant des images avec des clés privées et en utilisant des mécanismes matériels et logiciels pour vérifier l'image chargée. Cela permet aux utilisateurs de s'assurer que lorsqu'ils chargent le micrologiciel du périphérique, aucune autre personne n'a ajouté de code de violation de sécurité.

Lorsqu'un utilisateur tente de charger une nouvelle image, la nouvelle image est téléchargée dans un fichier temporaire, qui est validé. En cas d'erreur, le fichier temporaire est supprimé. De cette manière, si la nouvelle image n'est pas valide, le processus d'installation échoue et affiche un message d'avertissement.

Si vos commutateurs sont dans une topologie empilée

Lorsque vous chargez 2.4.0.91, ou la dernière version disponible, sur le commutateur actif (principal), il charge le micrologiciel sur tous les membres de la pile. Ceci est indépendamment du modèle de la famille, car il est nécessaire que tous les périphériques exécutent le même micrologiciel. La pile fonctionne normalement.

Processus de démarrage sécurisé

Au démarrage, le système imprime les informations de démarrage sécurisé sur le terminal. Voici les étapes que les périphériques doivent suivre avant le démarrage sécurisé.

- Boot Read Only Memory (BootROM) valide le démarrage

- Booton valide le démarrage universel (Uboot)

- Uboot valide l'image ROS

Si le démarrage sécurisé détecte une défaillance, il empêche le périphérique de démarrer. Si cela se produit, contactez votre centre d'assistance technique ou partenaire Cisco (TAC) pour déterminer les prochaines étapes à suivre dans cette situation. Si vous devez trouver un partenaire Cisco, cliquez ici.

Syslog de démarrage sécurisé

Au démarrage, le système imprime les informations de démarrage sécurisé :

- Démarrage sécurisé activé/désactivé : dans les périphériques sans module de fusion programmable électrique (eFuse) System-on-Chip (SoC), tel que le processeur central (MSYS) Minimal SYStem (MSYS), ou lorsque le bit sécurisé eFuse n'est pas défini, l'impression sera “ ” de démarrage sécurisé désactivé. Si le démarrage sécurisé est activé, l'impression sera “ ” de démarrage sécurisé.

- Une fois que BootROM valide l'amorçage, il imprime l'état de validation (passé/échoué).

- Une fois que le démarrage a validé l'Uboot, il imprime l'état de validation (passé/échoué).

- Une fois Uboot validé l'image ros, il imprime l'état de validation (réussi/échoué).

Note: En cas d'échec, le processus de démarrage s'arrête.

Exemple de sortie de démarrage sécurisé version 2.4.0.91 :

Exemple de sortie de démarrage sécurisé version 2.5.0.83 du micrologiciel :

Conclusion

Vous connaissez maintenant Secure Boot et comment il peut vous aider à protéger votre réseau.