VMware Ubuntu环境下获取TPM测量哈希事件对应文件路径的方法咨询

核心疑问的明确判定 #

• 首先可以明确：测量事件对应的文件/程序路径信息缺失，不是tpm2-tools的解析能力不足导致的，本质是TPM事件日志本身的设计边界决定的，不同阶段生成的日志字段有本质区别。
  • 你当前读取的/sys/kernel/security/tpm0/binary_bios_measurement是严格按照TCG可信计算规范生成的固件阶段事件日志，这部分日志的设计逻辑就是：只记录事件分类、测量生成的哈希值、触发事件的组件通用标识，从规范层面就没有定义“被测量对象的文件系统路径”这个字段。
  • 这部分测量发生在操作系统完成加载之前，固件、引导程序运行时还没有挂载可读写的文件系统，本身就不具备获取文件完整路径的条件，自然不会把路径信息写入日志。
  • tpm2-tools的tpm2_eventlog命令已经可以按规范把二进制日志里的所有结构化字段完整拆解出来，不存在“漏解析本来存在的路径字段”的情况。
• 只有操作系统启动完成后，由内核安全子系统触发的测量事件，才会在日志中记录被测量文件的完整路径，但这部分内容并不存在于你当前读取的固件阶段日志文件中。

获取测量事件对应文件路径的可实现方案 #

• 针对固件引导阶段（也就是当前你读取的binary_bios_measurement日志里的事件）的路径关联：
  • 按照日志中记录的每个事件的测量哈希值，和系统实际存储的引导相关文件做哈希比对：包括ESP分区下的UEFI驱动、shim引导程序、GRUB配置、内核镜像、initrd镜像等，哈希值匹配的文件就是对应测量事件的测量对象。
  • 开启Ubuntu系统的IMA（完整性测量架构）引导阶段测量功能，内核会自动在测量过程中建立哈希值和文件路径的映射关系，不需要手动逐一比对。
• 针对操作系统运行阶段的测量事件路径获取：
  • 不要读取固件阶段的二进制测量日志，转而访问系统独立存放的IMA运行时测量日志，默认路径为/sys/kernel/security/ima/ascii_runtime_measurements，这个日志本身是结构化存储的，每一条记录除了测量哈希值，还会直接标注被测量对象的完整文件路径。
• 针对VMware虚拟环境的特殊注意点：
  • VMware模拟的TPM仅负责存储PCR值和对应事件日志，不会主动生成测量内容、也不会补充任何路径类元数据，所有写入日志的内容都是虚拟机内的固件、引导程序、操作系统自身按规范生成的。

内容的提问来源于stack exchange，提问作者capstonene