.\" Automatically generated by Pandoc 3.6.1 .\" .TH "tpm2_policysigned" "1" "" "tpm2\-tools" "General Commands Manual" .SH "نام (NAME)" tpm2_policysigned \- فعال‌سازی احراز مجوز خط‌مشی با تایید امضای پارامترهای اختیاری TPM2 .SH "خلاصه دستور (SYNOPSIS)" \f[B]tpm2_policysigned\f[R] [\f[I]OPTIONS\f[R]] .SH "توضیحات (DESCRIPTION)" دستور \f[B]tpm2_policysigned\f[R](1) \- احراز مجوز خط‌مشی را با اعتبارسنجی امضای پارامترهای اختیاری TPM2 فعال می‌کند. امضا توسط یک مرجع امضاکننده تولید می‌شود. پارامترهای اختیاری TPM2 عبارتند از cpHashA، nonceTPM، policyRef و expiration (زمان انقضا). .SH "گزینه‌ها (OPTIONS)" .IP \[bu] 2 \f[B]\-L\f[R], \f[B]\-\-policy\f[R]=\f[I]FILE\f[R]: .RS 2 .PP فایلی برای ذخیرهٔ خلاصه خط‌مشی مرکب (compounded policy digest). .RE .IP \[bu] 2 \f[B]\-S\f[R], \f[B]\-\-session\f[R]=\f[I]FILE\f[R]: .RS 2 .PP فایل نشست خط‌مشی ایجادشده از طریق گزینهٔ \f[B]\-S\f[R] در \f[B]tpm2_startauthsession\f[R](1). .RE .IP \[bu] 2 \f[B]\-c\f[R], \f[B]\-\-key\-context\f[R]=\f[I]OBJECT\f[R]: .RS 2 .PP شیء زمینه برای زمینهٔ کلید مورد استفاده در عملیات. می‌تواند یک فایل یا یک شناسه دستگیره (handle) باشد. بخش \[lq]قالب شیء زمینه (Context Object Format)\[rq] را ببینید. .RE .IP \[bu] 2 \f[B]\-g\f[R], \f[B]\-\-hash\-algorithm\f[R]=\f[I]ALGORITHM\f[R]: .RS 2 .PP الگوریتم درهم‌سازی (هش) مورد استفاده برای خلاصه‌سازی پیام. .RE .IP \[bu] 2 \f[B]\-s\f[R], \f[B]\-\-signature\f[R]=\f[I]FILE\f[R]: .RS 2 .PP فایل امضای ورودی مربوط به امضایی که باید اعتبارسنجی شود. .RE .IP \[bu] 2 \f[B]\-f\f[R], \f[B]\-\-format\f[R]=\f[I]FORMAT\f[R]: .RS 2 .PP تنظیم فایل امضای ورودی به یک قالب مشخص. حالت پیش‌فرض قالب داده TPMT_SIGNATURE مربوط به tpm2.0 است، اما اگر داده‌ها از یک منبع خارجی مانند OpenSSL آمده باشند می‌توان طرح‌واره‌های متفاوتی را انتخاب کرد. این ابزار در حال حاضر از rsassa و ecdsa پشتیبانی می‌کند. .RE .IP \[bu] 2 \f[B]\-t\f[R], \f[B]\-\-expiration\f[R]=\f[I]NATURAL_NUMBER\f[R]: .RS 2 .PP تنظیم زمان انقضای خط‌مشی بر حسب ثانیه. در صورت عدم وجود nonceTPM، زمان انقضا همان مقدار مهلت زمانی خط‌مشی خواهد بود. اگر مقدار انقضا عددی منفی باشد، علاوه بر آن یک بلیت احراز مجوز بازگردانده می‌شود. اگر مقدار انقضا 0 باشد، خط‌مشی هیچ محدودیت زمانی برای احراز مجوز نخواهد داشت. .RE .IP \[bu] 2 \f[B]\-\-cphash\-input\f[R]=\f[I]FILE\f[R]: .RS 2 .PP هش پارامترهای دستور (cpHash)، که اجرای دستور TPM مورد احراز مجوز و همچنین مقادیر دستگیره و پارامترهای آن را الزام می‌کند. .RE .IP \[bu] 2 \f[B]\-\-raw\-data\f[R]=\f[I]FILE\f[R]: .RS 2 .PP داده‌های خام که بر اساس پارامترهای انتخاب‌شده تولید می‌شوند، به عنوان ورودی برای محاسبهٔ هشی که باید امضا شود به کار می‌روند. .IP \[bu] 2 \f[B]\-\-ticket\f[R]=\f[I]FILE\f[R]: .RS 2 .PP فایل بلیت برای ثبت ساختار بلیت احراز مجوز (authorization ticket). .RE .IP \[bu] 2 \f[B]\-\-timeout\f[R]=\f[I]FILE\f[R]: .RS 2 .PP مسیر فایل برای ثبت ساختار مهلت زمانی برگشتی. .RE .IP \[bu] 2 \f[B]\-q\f[R], \f[B]\-\-qualification\f[R]=\f[I]FILE_OR_HEX_STR\f[R]: .RS 2 .PP اختیاری، داده‌های توصیف‌کنندهٔ خط‌مشی (policy qualifier data) که امضاکننده می‌تواند برای گنجاندن در امضا انتخاب کند. می‌تواند یک رشته هگزادسیمال یا مسیر فایل باشد. .RE .IP \[bu] 2 \f[B]\-x\f[R], \f[B]\-\-nonce\-tpm\f[R]: .RS 2 .PP فعال‌سازی مقایسهٔ nonceTPM نشست جاری برای اطمینان از اینکه اعتبار احراز مجوز خط‌مشی به نشست جاری محدود است. .RE .RE .SS "مراجع (References)" .SH "گزینه‌های عمومی (COMMON OPTIONS)" این مجموعه گزینه‌ها میان بسیاری از برنامه‌ها مشترک هستند و اطلاعاتی را ارائه می‌دهند که اغلب کاربران انتظار دارند. .IP \[bu] 2 \f[B]\-h\f[R], \f[B]\-\-help=[man|no\-man]\f[R]: نمایش صفحه راهنمای ابزار. به‌طور پیش‌فرض، تلاش می‌کند صفحه‌خوان راهنما (manpager) را برای ابزار فراخوانی کند؛ اما در صورت شکست، خلاصه‌ای کوتاه از ابزار را نمایش می‌دهد. اگر آرگومان گزینه \[lq]man\[rq] مشخص شود نیز همین رفتار رخ می‌دهد، اما اگر صریحاً \[lq]man\[rq] درخواست شود، ابزار خطاهای man را در خروجی استاندارد خطا (stderr) نشان می‌دهد. اگر گزینه \[lq]no\-man\[rq] مشخص شود یا صفحه‌خوان man با شکست مواجه گردد، خلاصه گزینه‌ها در خروجی استاندارد (stdout) چاپ خواهد شد. .RS 2 .PP استفاده موفقیت‌آمیز از ویژگی manpages نیازمند نصب بودن صفحات راهنما یا قرار داشتن آن‌ها در مسیر \f[I]MANPATH\f[R] است؛ برای جزئیات بیشتر به \f[B]man\f[R](1) مراجعه کنید. .RE .IP \[bu] 2 \f[B]\-v\f[R], \f[B]\-\-version\f[R]: نمایش اطلاعات نگارش این ابزار و TCTIهای پشتیبانی‌شده و سپس خروج. .IP \[bu] 2 \f[B]\-V\f[R], \f[B]\-\-verbose\f[R]: افزایش میزان اطلاعاتی که ابزار حین اجرا در کنسول چاپ می‌کند. هنگام استفاده از این گزینه، نام فایل و شماره خط چاپ می‌شوند. .IP \[bu] 2 \f[B]\-Q\f[R], \f[B]\-\-quiet\f[R]: بی‌صدا کردن خروجی عادی ابزار در خروجی استاندارد (stdout). .IP \[bu] 2 \f[B]\-Z\f[R], \f[B]\-\-enable\-errata\f[R]: فعال‌سازی اعمال اصلاحیه‌های اشتباهات (errata fixups). این گزینه زمانی مفید است که نیاز به اعمال یک اصلاحیه errata روی دستورات ارسالی به TPM باشد. تعریف متغیر محیطی TPM2TOOLS_ENABLE_ERRATA نیز عملکردی معادل دارد. .IP \[bu] 2 \f[B]\-z\f[R], \f[B]\-\-pwd\-session\f[R]: استفاده از نشست گذرواژه به جای نشست HMAC برای احراز هویت. یک گذرواژه متن خام (clear text) برای تایید عملیات به TPM ارسال می‌شود. از این گزینه می‌توان برای جلوگیری از بروز مشکل در زمان استفاده از نشست‌های بدون نمک (unsalted) در حالت OpenSSL FIPS استفاده کرد. اگر مقادیر مجاز (auth values) به کار روند، باید از یک نشست نمک‌دار (salted) برای احراز هویت استفاده شود. .IP \[bu] 2 \f[B]\-R\f[R], \f[B]\-\-autoflush\f[R]: فعال کردن تخلیه خودکار (autoflush) برای اشیاء گذرای ایجادشده توسط دستور. اگر یک شیء والد از یک فایل زمینه بارگذاری شود، آن شیء والد گذرا نیز تخلیه خواهد شد. تخلیه خودکار همچنین در صورتی که متغیر محیطی TPM2TOOLS_AUTOFLUSH روی yes یا true تنظیم شده باشد، فعال می‌شود. .SH "پیکربندی TCTI (TCTI CONFIGURATION)" رابط انتقال یا TCTI (\f[I]Transmission Interface\f[R]) سازوکار ارتباطی با TPM است. TCTIها را می‌توان برای ارتباط با TPM از طریق بسترهای گوناگون تغییر داد. .PP برای کنترل TCTI، ابزارها موارد زیر را در نظر می‌گیرند: .IP "1." 3 گزینه خط فرمان \f[B]\-T\f[R] یا \f[B]\-\-tcti\f[R] .IP "2." 3 متغیر محیطی: \f[I]TPM2TOOLS_TCTI\f[R]. .PP \f[B]نکته:\f[R] گزینه خط فرمان همواره بر متغیر محیطی اولویت دارد. .PP TCTIهای شناخته‌شده کنونی عبارتند از: .IP \[bu] 2 tabrmd \- مدیر منابع، موسوم به \c .UR https://github.com/tpm2-software/tpm2-abrmd tabrmd .UE \c \&. توجه داشته باشید که tabrmd و abrmd به عنوان نام tcti مترادف یکدیگرند. .IP \[bu] 2 mssim \- معمولاً برای برقراری ارتباط با شبیه‌ساز نرم‌افزاری TPM استفاده می‌شود. .IP \[bu] 2 device \- هنگام برقراری ارتباط مستقیم با فایل دستگاه TPM استفاده می‌شود. .IP \[bu] 2 none \- هیچ ارتباطی با TPM برقرار نمی‌کند. برخی ابزارها امکان استفاده از گزینه‌های خارج از TPM (off\-tpm) را می‌دهند و بنابراین از عدم استفاده از TCTI پشتیبانی می‌کنند. ابزارهایی که از آن پشتیبانی نمی‌کنند، در صورت تلاش برای استفاده بدون اتصال TCTI با خطا مواجه می‌شوند. این مقدار از \f[I]هیچ\f[R] گزینه‌ای پشتیبانی نمی‌کند و \f[I]باید دقیقاً\f[R] به صورت متن \[lq]none\[rq] ارائه شود. .PP آرگومان‌های گزینه خط فرمان یا متغیر محیطی به شکل زیر هستند: .PP \f[CR]:\f[R] .PP تعیین یک رشته خالی برای هر یک از بخش‌های \f[CR]\f[R] یا \f[CR]\f[R] باعث می‌شود به ترتیب مقدار پیش‌فرض برای آن بخش استفاده شود. .SS "پیش‌فرض‌های TCTI (TCTI Defaults)" هنگامی که یک TCTI مشخص نشده باشد، TCTI پیش‌فرض با استفاده از سازوکار \f[I]dlopen(3)\f[R] جستجو می‌شود. ابزارها به دنبال TCTIهای \f[I]tabrmd\f[R]، \f[I]device\f[R] و \f[I]mssim\f[R] \f[B]به همین ترتیب\f[R] می‌گردند و \f[B]از نخستین موردی که پیدا شد استفاده می‌کنند\f[R]. می‌توانید با استفاده از گزینه .B \-v برای چاپ اطلاعات نگارش، متوجه شوید کدام TCTI به عنوان پیش‌فرض انتخاب خواهد شد. جفت کلید\-مقدار \[lq]default\-tcti\[rq] نشان خواهد داد کدام یک از TCTIهای پیش‌گفته به عنوان پیش‌فرض است. .SS "TCTIهای سفارشی (Custom TCTIs)" هر TCTI که رابط پویای TCTI را پیاده‌سازی کند می‌تواند بارگذاری شود. ابزارها در داخل از \f[I]dlopen(3)\f[R] استفاده می‌کنند و مقدار خام \f[I]tcti\-name\f[R] برای جستجو به کار می‌رود. بنابراین، این مقدار می‌تواند مسیری به کتابخانه مشترک یا نام کتابخانه به نحوی که برای سازوکار \f[I]dlopen(3)\f[R] قابل فهم باشد، باشد. .SH "گزینه‌های TCTI (TCTI OPTIONS)" این مجموعه گزینه‌ها برای پیکربندی ماژول‌های مختلف TCTI شناخته‌شده در دسترس به کار می‌روند: .IP \[bu] 2 \f[B]device\f[R]: برای TCTI دستگاه (device)، فایل دستگاه نویسه‌ای (character device) TPM برای استفاده توسط این TCTI قابل تعیین است. مقدار پیش‌فرض \f[I]/dev/tpm0\f[R] است. .RS 2 .PP مثال: \f[B]\-T device:/dev/tpm0\f[R] یا \f[B]export \f[BI]TPM2TOOLS_TCTI\f[B]=\[lq]device:/dev/tpm0\[rq]\f[R] .RE .IP \[bu] 2 \f[B]mssim\f[R]: برای TCTI شبیه‌ساز mssim، نام دامنه یا آدرس IP و شماره درگاه (port) مورد استفاده شبیه‌ساز قابل تعیین است. مقادیر پیش‌فرض 127.0.0.1 و 2321 هستند. .RS 2 .PP مثال: \f[B]\-T mssim:host=localhost,port=2321\f[R] یا \f[B]export \f[BI]TPM2TOOLS_TCTI\f[B]=\[lq]mssim:host=localhost,port=2321\[rq]\f[R] .RE .IP \[bu] 2 \f[B]abrmd\f[R]: برای TCTI ابزار abrmd، قالب رشته پیکربندی مجموعه‌ای از جفت‌های کلید\-مقدار ساده است که با کاراکتر `,' از هم جدا شده‌اند. هر کلید و رشته مقدار با کاراکتر `=' از هم جدا می‌شوند. .RS 2 .IP \[bu] 2 ماژول TCTI abrmd از دو کلید پشتیبانی می‌کند: .RS 2 .IP "1." 3 `bus_name' : نام سرویس tabrmd روی گذرگاه (یک رشته). .IP "2." 3 `bus_type' : نوع نمونه dbus (یک رشته) که محدود به `session' و `system' است. .RE .PP مشخص کردن نام tcti مربوط به tabrmd و رشته پیکربندی \f[CR]bus_name=com.example.FooBar\f[R]: .IP .EX \[rs]\-\-tcti=tabrmd:bus_name=com.example.FooBar .EE .PP مشخص کردن tcti پیش‌فرض (abrmd) و رشته پیکربندی \f[CR]bus_type=session\f[R]: .IP .EX \[rs]\-\-tcti:bus_type=session .EE .PP \f[B]نکته\f[R]: دو نام abrmd و tabrmd مترادف یکدیگرند. .RE .SH "مثال‌ها (EXAMPLES)" احراز مجوز یک عملیات TPM روی شیئی که مجوز آن به یک مرجع امضاکنندهٔ خاص وابسته است. .SS "ایجاد مرجع امضاکننده (Create the signing authority)" .IP .EX openssl genrsa \-out private.pem 2048 openssl rsa \-in private.pem \-outform PEM \-pubout \-out public.pem .EE .SS "تولید امضا با تنظیم مقادیر nonceTPM، cpHashA، policyRef و expiration بر روی 0 (Generate signature with nonceTPM, cpHashA, policyRef and expiration set to 0)" .IP .EX echo \[dq]00 00 00 00\[dq] \f[B]|\f[R] xxd \-r \-p \f[B]|\f[R] \[rs] openssl dgst \-sha256 \-sign private.pem \-out signature.dat .EE .SS "بارگذاری کلید اعتبارسنجی و ایجاد خط‌مشی policysigned (Load the verification key and Create the policysigned policy)" .IP .EX tpm2_loadexternal \-C o \-G rsa \-u public.pem \-c signing_key.ctx tpm2_startauthsession \-S session.ctx tpm2_policysigned \-S session.ctx \-g sha256 \-s signature.dat \-f rsassa \[rs] \-c signing_key.ctx \-L policy.signed tpm2_flushcontext session.ctx .EE .SS "ایجاد یک شیء مهروموم‌کننده برای استفاده از policysigned (Create a sealing object to use the policysigned)" .IP .EX echo \[dq]plaintext\[dq] > secret.data tpm2_createprimary \-C o \-c prim.ctx tpm2_create \-u key.pub \-r sealing_key.priv \-c sealing_key.ctx \-C prim.ctx \[rs] \-i secret.data \-L policy.signed .EE .SS "برآورده ساختن خط‌مشی و باز کردن مهروموم راز (Satisfy the policy and unseal secret)" .IP .EX tpm2_startauthsession \-S session.ctx \-\-policy\-session tpm2_policysigned \-S session.ctx \-g sha256 \-s signature.dat \-f rsassa \[rs] \-c signing_key.ctx \-L policy.signed tpm2_unseal \-p session:session.ctx \-c sealing_key.ctx tpm2_flushcontext session.ctx .EE .SH "کدهای خروجی (RETURNS)" ابزارها می‌توانند هر یک از کدهای زیر را بازگردانند: .IP \[bu] 2 0 \- موفقیت‌آمیز. .IP \[bu] 2 1 \- خطای عمومی و نامشخص. .IP \[bu] 2 2 \- خطای مدیریت گزینه‌ها. .IP \[bu] 2 3 \- خطای احراز هویت. .IP \[bu] 2 4 \- خطای مربوط به TCTI. .IP \[bu] 2 5 \- طرح‌واره پشتیبانی‌نشده (Non supported scheme). مربوط به tpm2_testparams. .SH "محدودیت‌ها (LIMITATIONS)" این دستور انتظار دارد که یک نشست از پیش با استفاده از \f[B]tpm2_startauthsession\f[R](1) برقرار شده باشد و نیازمند یکی از موارد زیر است: .IP \[bu] 2 دسترسی مستقیم به دستگاه .IP \[bu] 2 پشتیبانی از نشست توسعه‌یافته با \f[B]tpm2\-abrmd\f[R]. .PP بدون آن، اکثر مدیران منابع وضعیت نشست را بین فراخوانی‌های دستور ذخیره \f[B]نخواهند کرد\f[R]. .SH "اشکالات (BUGS)" \c .UR https://github.com/tpm2-software/tpm2-tools/issues مسائل گیت‌هاب (Github Issues) .UE \c .SH "راهنما (HELP)" مشاهده \c .UR https://lists.linuxfoundation.org/mailman/listinfo/tpm2 فهرست پستی (Mailing List) .UE \c .SH "مجوز (LICENSE)" این اثر تحت مجوز \c .UR https://creativecommons.org/licenses/by/4.0 کریتیو کامنز ارجاع ۴.۰ بین‌المللی (CC BY 4.0) .UE \c \& منتشر شده است.