Shim\PRELoader или сожительство с SecureBoot

x64 и x32 UEFI.

x64 и x32 UEFI.
Как ни прискорбно, но x32 UEFI умер не приходя в сознание, поэтому мы его рассматривать не будем в принципе.

Простой пример.

Простой пример. Я прихожу к незнакомому компу, хочу запустить какие-то уже проверенные практикой EFI приложения - бутлоадер\прогу (самый простой пример rEFInd\grub2) и получаю облом. Ибо включен SecureBoot.
Постараюсь в двух словах пояснить как без изменений настроек UEFI все таки запустить эти EFI приложения. Ничего космического, данная возможность предусмотрена и заложена в самом механизме SecureBoot. После окончания работы с незнакомым компом можно удалить все изменения, это я написал для конспирологов и параноиков.

Немного теории.

Не буду сильно влезать в теорию. Есть 4 режима работы SecureBoot.
Setup Mode нам не особо интересен, он предполагает, что мы меняем ВСЕ ключи. Кому интересно (эт для жестких параноиков), прошу сюда, не советую читать неподкованным в теме и слабонервных.. Там жестяк.
Audit Mode и Deployed Mode - режимы, которые практически неподвластны пользователю.
User Mode наш вариант, он позволяет добавлять\удалять пользовательские ключи MOK (Machine Owner Keys). Вот этот режим и рассмотрим внимательней ниже.
Есть несколько абсолютно разных по уровню доступа ключей SecureBoot - PK, KEK, DB, DBX, MOK. Подробнее читайте здесь..
Мы будем добавлять свои ключи в MOK лист в режиме User Mode. Мы не будем претендовать на какие-то глобальные изменения, просто "попросим" систему временно принять ключ или несколько - он\они пропишутся в NVRAM. Возможно немного сложно в теории, но на практике это просто, смотрим на видео ниже.

Shim и MOKManager.

Shim - это промежуточный загрузчик, подписанный валидным ключем от MS, задача которого разрешать к загрузке файлы, которые подписаны каким-нибудь ключем и этот ключ добавлен в MOK лист. Строго говоря подпись необязательна, файл может быть добавлен в MOK лист и по хэшу.
Дополнительная функция его - запускать MOKManager при ошибке. В данном случае ошибкой будет считаться, если файл grubx64.efi не прошел проверку, то есть в MOK листе о нём никаких сведений нет. Сам MOKManager не всегда добавляется в дистрибутив Linux, но его легко найти\докачать при желании. Также не догма, что загрузчик должен называться grubx64.efi, встречал разные варианты, впрочем чаще всего именно grubx64.efi ибо Shim исторически был создан и заточен под grub2.
Некоторая инфа есть здесь, впрочем кое-что уже устарело... Скачать.

Ключи или хэш?

Задача MOKManager проста - добавить в базу MOK ключи или хэши нужных бинарников EFI. Это могут быть драйвера, лоадеры, ядра, шеллы, утилиты и т.п.
Есть две возможности. Добавить ключи или добавить хэши. Если нужный бинарник подписан, то имхо удобнее добавить ключ, если не подписан, то придется добавлять хэш.
К примеру rEFInd имеет 7 драйверов x64 плюс сам rEFInd плюс несколько утилит. Согласитесь, что проще для всего этого зоопарка добавить один ключ, который автор заботливо нам предоставил, нежели 10 хэшей.
Что делать, если бинарник не подписан цифровой подписью? Тут два варианта. Подписать бинарник самому и потом добавить ключ или добавить хэш. Если бинарник один, два конечно хэш проще, а если 70?
Иногда бывает, что бинарник подписан, но публичного ключа автор не предоставил. Это не беда, можно экспортировать ключ в любой ОС. Пример экспорта ключа из Windows.

PRELoader и HashTool.

PRELoader - это промежуточный загрузчик, подписанный валидным ключем от MS, задача которого разрешать к загрузке файлы, которые имеют хэш в MOK листе. Он чем-то похож на Shim, но работает мне кажется немного не так, впрочем я не великий спец и нюансы мне неясны. Имхо он более прост и возможно надежнее, чем Shim.
Дополнительная функция его - запускать HashTool при ошибке. В данном случае ошибкой будет считаться, если файл Loader.efi не прошел проверку, то есть в MOK листе о нём никаких сведений нет. HashTool тоже подписан валидным ключем от MS и это его принципиальное отличие от MOKManager. Задача HashTool - добавить в базу MOK хэши нужных бинарников EFI.
Некоторая инфа есть здесь... Скачать.