麒麟系统未发现认证应用执行常见问题：数字签名验证失败

Question

在麒麟操作系统中，未签名或数字签名验证失败是导致认证应用无法正常执行的常见问题。系统出于安全机制，默认拒绝运行未经可信证书签名的应用程序。当应用签名信息缺失、证书过期或CA不受信任时，内核模块（如KYSEC）将拦截执行。开发者常因忽略国密算法签名或未将根证书预置到系统信任链而导致部署失败。

Answer 1

麒麟操作系统中应用签名验证失败问题深度解析

1. 问题背景与安全机制概述

在国产化信创背景下，麒麟操作系统（Kylin OS）广泛应用于政府、金融及关键基础设施领域。为保障系统安全，其内核集成KYSEC等安全模块，强制实施代码签名验证机制。

当用户尝试运行一个应用程序时，系统会通过以下流程进行校验：

1. 检查可执行文件是否包含数字签名；
2. 验证签名使用的证书链是否完整；
3. 确认根证书是否存在于系统的可信CA存储中；
4. 判断证书是否过期或被吊销；
5. 使用国密算法（如SM2/SM3）重新计算哈希并比对签名值。

若上述任一环节失败，KYSEC将拦截执行，并记录安全事件日志。

2. 常见故障类型与表现形式

故障类型	典型现象	触发条件
无签名应用	直接报“权限拒绝”或“无法启动”	未调用signcode工具签名
证书过期	dmesg显示“signature expired”	使用旧版测试证书部署生产环境
CA未受信任	提示“unknown authority”	自建CA未导入/etc/pki/ca-trust/source/anchors/
非国密算法签名	KYSEC模块返回-EPERM错误	使用RSA-SHA256而非SM2-SM3
签名损坏	“integrity check failed”	二进制被修改或打包过程出错

3. 分析诊断流程图

```mermaid
    graph TD
        A[应用启动失败] --> B{是否有数字签名?}
        B -- 否 --> C[需使用signcode签名]
        B -- 是 --> D[提取签名证书链]
        D --> E{证书有效且未过期?}
        E -- 否 --> F[更新证书有效期]
        E -- 是 --> G{根证书已预置到信任链?}
        G -- 否 --> H[导入CA至系统信任库]
        G -- 是 --> I{签名算法是否为国密SM2/SM3?}
        I -- 否 --> J[重新用国密算法签名]
        I -- 是 --> K[检查文件完整性]
        K --> L[成功运行或深入调试]
    ```

4. 核心解决方案详解

解决此类问题需从开发、构建、部署三个阶段协同处理：

• 开发阶段：确保构建脚本集成国密签名工具链，例如使用kysec-sign-tool配合OpenSSL-GM版本。
• 测试阶段：在模拟环境中启用KYSEC审计模式，捕获所有签名相关的deny日志。
• 部署前：将企业私有CA的根证书以PEM格式复制到/etc/pki/ca-trust/source/anchors/目录下。
• 部署后：执行update-ca-trust extract命令刷新信任链缓存。

5. 关键命令与操作示例

# 查看内核安全模块拦截记录
dmesg | grep -i kysec

# 检查应用是否已签名（假设为ELF格式）
readelf -S your_app | grep sign

# 导入自定义CA证书
sudo cp my-ca.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract

# 使用国密工具签名应用（示例）
gmssl sm2sign -sign your_app -out your_app.sig -key priv.key -cert cert.pem

# 验证签名有效性
kysec-verify --verbose your_app
    

6. 高级调试技巧

对于复杂场景，建议启用KYSEC的详细日志输出：

echo 7 > /sys/module/kysec/parameters/debug_level

然后通过journalctl -k | grep kysec实时监控策略决策过程。

此外，可借助strace -e trace=execve跟踪程序加载时的系统调用，定位拦截点。

对于容器化部署，还需注意镜像构建过程中签名信息的保留，避免Docker层压缩导致元数据丢失。

某些情况下，SELinux策略也可能与KYSEC产生联动限制，需综合分析avc: denied日志条目。

建议建立标准化的CI/CD流水线，在每次构建后自动执行签名和验证步骤，提升发布可靠性。