☰

마더보드의 펌웨어 데이터베이스에 저장된 보안 부팅 키를 서명된 .efi 파일과 비교하는 방법은 무엇입니까?

tag-icon • tag-icon opensuse uefi boot-loader secure-boot
마더보드의 펌웨어 데이터베이스에 저장된 보안 부팅 키를 서명된 .efi 파일과 비교하는 방법은 무엇입니까?

가상 머신에서 보안 부팅을 활성화하는 것은 매우 쉬운 일이지만 표준 구성(Microsoft의 키를 사용하는 것 같습니다)에서도 보안 부팅 모드로 부팅을 거부하는 2012 빈티지 컴퓨터에서 OpenSUSE를 사용하여 동일한 작업을 수행하는 데 어려움을 겪고 있습니다. . 가장 중요한 부분인 문제를 해결하고 싶습니다. 펌웨어와 심 사이의 키가 일치합니까? 그것을 확인하는 방법은 무엇입니까?

답변1

보안 부팅이란 무엇입니까?

인용Particle.io:

...보안 부팅은 제조 시 장치에 배치된 알려진 보안 암호화 키에 대해 장치의 펌웨어 및 운영 체제를 인증하는 프로세스를 의미합니다. 이 인증은 장치가 부팅될 때마다 발생하여 로드 중인 펌웨어 또는 코드가 이를 생산한 사람이 배치한 합법적인 버전인지 확인합니다.

위 인용문과 링크는 IoT 기기를 의미합니다. PC를 "사물"로 간주한다면 이 인용문은 여전히 ​​PC에 적용됩니다. OP 질문의 경우 견적의 전제가 2012년과 지금과 동일하기 때문에 장치의 연식은 중요하지 않습니다. OP가 이미 수행한 키 저장소를 "재설정"해야 한다는 가정을 사용하여 이 문제 해결 답변의 나머지 부분을 시작하겠습니다. 그러나 향후 방문자의 이익을 위해 그렇게 하고 있습니다.

세부 단계

이 작업을 더 작은 덩어리로 나누기 위해 수행해야 할 작업에 대한 번호가 매겨진 목록을 생성해 보겠습니다.

  1. 계속 읽어보세요SuSE와 관련하여 Linux에서 보안 부팅이 작동하는 방식. 메모: 2012년 해당 링크의 구현은 모든 배포판에서 보안 부팅을 구현한 방식과 거의 같습니다.
    • 단순화를 위해 해당 기사의 "핵심"을 게시하겠습니다(읽어보신 분들을 위해). 이것이 OP가 안고 있는 근본적인 문제이기 때문입니다. SecureBoot 순서도
  2. Mac의 펌웨어를 공장 기본값으로 재설정하려면 다음을 수행하세요.PRAM 재설정 수행 중
  3. 다음 단계를 사용하세요.Roderick Smith가 설명함
    • OpenSuSE Live ISO에 MokManager 프로그램이나 MokUtil 프로그램이 포함되어 있으면 3단계가 단순화될 수 있습니다.
  4. 원하는 키를 MOK 데이터베이스에 등록하세요.
    • 선택 사항: 위 단계(항목 3 및 4)를 수행하면 rEFInd 키와 SuSE 키가 모두 등록됩니다. OSX 및 OpenSuSE를 이중 부팅할 계획이라면 이 Boot Manger를 사용하는 것이 좋습니다. OpenSuSE만 사용할 계획이라면 해당 인증서만 등록하면 됩니다.
  5. 이제 은(는) shim새 키를 인식하고 프로세스를 Grub2에 올바르게 전달해야 하며 Grub 2는 OpenSuSE를 부팅합니다.

위 단계가 실패할 경우 수행할 작업

문제 해결 섹션을 참조하십시오.Mac에 openSUSE 설치. 직감적으로 Roderick Smith의 말을 다시 인용하면 다음과 같습니다.

일부 EFI 구현(주로 2014년 이전)은 Linux의 efibootmgr 또는 기타 도구를 통해 설정된 부팅 옵션을 제대로 따르지 않습니다. Windows에 rEFInd를 설치해야 하는 경우와 같이 이러한 유틸리티에 대한 액세스가 부족할 수도 있습니다. 이러한 경우 EFI가 이를 기본 부트 로더로 인식하도록 부트 로더의 이름을 변경해야 할 수도 있습니다. 그러면 NVRAM에 사용할 특정 부트 로더에 대한 정보가 부족한 경우 rEFInd가 부팅됩니다.

위의 경우 OpenSuSE shim<arch>.efi파일의 이름을 로 변경 boot<arch>.efi하고 디렉터리에 넣습니다 BOOT(디렉토리가 없으면 BOOT루트에 넣습니다). 이 방법이 작동 arch하면 OP의 펌웨어는 하나의 파일에서만 부팅을 지원합니다. 보다:x32x64대체 이름 지정 옵션.

참고로, 최신 시스템에서도 이와 같은 수정이 필요합니다. 보다:보안 부팅을 위해 Debian 시스템에서 grubx64.efi 대신 shimx64.efi가 실행되도록 NVRAM을 업데이트합니다.. 나는 이와 관련하여 OP의 고통을 느낍니다.

관련 정보