Jak se zbavit Secure Bootu

15.10.2016 18:11 | Přečteno: 4659× | Expresivní zabručení |

Bohužel, jak jsem předpovídal, jednoho dne k tomu dojít muselo. U novějších počítačů už není zbytí a možnost vyhnout se UEFI v podstatě není.

Doposud nebyl problém vedle sebe v poklidu a míru Windows a Linux provozovat. GRUB se s EFI umí vypořádat bez problémů. Takto jsem nějaký čas bootoval jak Windows Boot Manager, tak GRUB. Nemám ponětí co se stalo a aniž bych si byl vědom nějaké chyby z mé strany, prostě mi včera vyskočila při snaze nabootovat GRUB tato nádherná obrazovka:

Klíček s popiskem „Security Boot Fail“. Toť vše. Dál se počítač nehnul ani o instrukci a vysvětlení žádné. Po restartu mi zůstal Windows Boot Manager jako jediná možnost kterou nabootovat.

Vypnutí UEFI a navrácení se ke standardní metodě mělo za následek, že nabootovat můžu pouze pomocí DHCP:

Secure Boot dle výchozího nastaven zapnutý a zašedlý, takže možnost deaktivovat ho žádná:

V tento moment jsem začínal být mírně řečeno zoufalý.

Pryč s ním

Za celý svůj život jsem nenastavil jediné heslo do BIOSu. Důvodem je pragmatičnost a taky trochu vlastní ideologie. Hesla mám tendenci zapomínat a hrozba, že zapomenu jaké heslo jsem nastavil do BIOSu je prostě veliká. Nemožnost spravovat BIOS poté velmi nemilá. Navíc jsem prostě toho přesvědčení, že kdokoliv sedí fyzicky před strojem by měl mít možnost ho spravovat včetně svobodné volby který systém chce nabootovat a heslo by mu v tom mohlo bránit. Prostě stroj je toho kdo před ním sedí, ten ho zároveň dost pravděpodobně spravuje a zároveň vlastní poslední bajt ve vlastní paměti. Takový člověk také rozhoduje co bude a nebude spouštět. Tak nějak to vidím já.

Bohužel jsem si zároveň všiml, že možnosti vlastnosti Secure Bootu jsou v menu do kterého se jinak než bez nastaveného hesla nedostanete. No nedá se nic dělat:

Nyní je možné spravovat klíče a možná ještě nějaké parametry Secure Bootu. Ovšem také zpřístupní jinou položku:

kterou každému soudnému člověku doporučuju nastavit na jedinou myslitelnou hodnotu:

[Vypnout, zničit, znárodnit a rozsekat na cucky!!!]

Na závěr dodám že nyní bootuji co uznám za vhodné já a už mi nezbývá nic jiného než obávat se dne kdy mi nějaký „Security patch“ i tuto možnost z BIOSu odebere.

       

Komentáře

[Matlák]

Řekl bych že ty "náhlé kolapsy" typu secure boot fail na dualboot mašině budou nejspíš mít na svědomí aktualizace Windows. Doporučuju se tímto jednoduše vyhnout spouštění Windows na železe úplně. Virtualizace je jediná rozumná volba (a nakonec je to i pohodlnější než čekat mezi restarty).

[Grunt]

Řekl bych že ty "náhlé kolapsy" typu secure boot fail na dualboot mašině budou nejspíš mít na svědomí aktualizace Windows. Doporučuju se tímto jednoduše vyhnout spouštění Windows na železe úplně.

Též něco takového podezřívám. Sám si nejsem vědom že bych změnil nějaké nastavení a prostě tohle začalo ze dne na den. Pokud vypnu Secure Boot, GRUB nabootuju bez nejmenšího problému. Problém je že pokud se oken zbavím a nepůjde nabootovat z jakéhokoliv důvodu Linux, z počítače zbude cihla. Licenci oken jsem si poctivě zaplatil, není k tomu instalačka, nic. Prostě by to byly vyhozené peníze z okna.

Virtualizace je jediná rozumná volba

Tohle jak funguje? Co když začne WBM ten Secure Boot ke svému startu vyžadovat, jak se vlastně bude spouštět ve virtuálu?

[Mrkva]

Tohle jak funguje? Co když začne WBM ten Secure Boot ke svému startu vyžadovat, jak se vlastně bude spouštět ve virtuálu?

Podle me neni duvod aby nejaky otevreny UEFI firmware ten secureboot nemohl podporovat, verejne klice MS jsou volne dostupne (a i kdyby nebyly jsou v kazdem BIOSu).

[Václav "Darm" Novák]

Instalačku Windows není problém kdykoliv stáhnout z webu Microsoftu.

[petr_p]

Dobře to chlapci vymysleli. Windows stáhne aktualizaci firmwaru ze sítě, umístí ji do vnitřní paměti a zavolá službu SMM. Ta si zkopíruje aktualizaci z vnitřní paměti do flash a vrátí řízení Windows. Při příštím startu systému firmware nainstaluje aktualizaci z flash. Například odvolání podpisu zavaděče shim :) Na oplátku firmware může umístit aktualizaci operačního systému do vnitřní paměti a operační systém si při startu řekne službě SMM o její adresu a z ní nainstaluje vlastní aktualizaci. Například root kit od výrobce firmwaru.

[Grunt]

To jako fakt nebo to je vtip?

[petr_p]

Ne. To první se jmenuje UEFI Capsule, to druhé Windows Platform Binary Table.

První umí Linux od verze 4.2, s druhým mělo aféru Lenovo asi tak před rokem, kdy lidem, co si odinstalovali z Windows nějaké pitominy od Lenova, je znovu nainstalovalo při bootu.

[Grunt]

Na fakt že jo. Hele a je tohle vůbec legální? To ještě EU nezakázala a nepokutovala?

[Dušan]

Takže som sa nemýlil. Človekovi som dal Mint. Po nejakých aktualizáciách WIN10 na Lenove už nenabotoval do linuxu. Našťastie stačilo prenastaviť v UEFI znova bootovanie na grub a bolo to vporiadku.

Tipujem že nie všetkým toto robia aktualizácie čo dal pisateľ príspevku.

Heh bolo jasné že MS znova niečo skúsi vrámci "bezpečnostnej" politiky.

[Grunt]

Po nejakých aktualizáciách WIN10

Popravdě též podezřívám aktualizace, protože WIN10 aktualizuje jako zběsilé, furt to něco mění…tak mě napadá, dá se to nějak rozumně vyřadit z provozu?

[nyan]

Group Policy editor, ale jen v Pro a vyssich.

[pc2005]

Si nastavuj nějaký blbý hesla jako 1234 ty stejně všichni zkouší (a mám ho na svém kufru :-P).

Nešel by coreboot? (I když ten asi windowsy nedá :-/ )

[Grunt]

Nešel by coreboot?

Na nějakém Acer spotřebním zboží? Těžko.

[Agent]

Myslíš tu hlášku ze Spaceballs? Aspoň myslim, že tam to bylo.

Heslo je 12345. Cože, 12345? Takové heslo bych si nedal ani na svůj kufr!

Pane, heslo je 12345..... Hmmm, zajímavé, stejné heslo jako na mém kufru.

[pc2005]

Vida aspoň někdo tu zná Spaceballs .

[Max]

Jo, Spaceballs, to jsem viděl asi 100x. Pěkná parodie.
Zdar Max

[Chytrex]

+1

[⧠ A = 0]

Tyhle věci nebudu řešit, dokud se neprodá poslední repasovaný Thinkpad x200 na eBay.

[Grunt]

Buď rád.

[pavlix]

Mám Lenovo ThinkPad X230 a nic jsem neřešil, v čem přesně je problém?

[⧠ A = 0]

x230 bezpečnou holínku nemá, ale srou mě na něm jiné věci.

[JiK]

HA! HA! HA! All Your Base Are Belong to Us!