Dotaz: Popora EFI u dnesnich distribuci

[ok2zar]

Ahoj,

vcera jsem podstoupil volny cas snaze nainstalovat aktualni stabilni debian na HP EliteBook 840 G4 a pak jsem to vycerpanim vzdal. Vlastne jsem nebyl schopen ani nabootovat instalacni medium. Bez ohledu na to, zda jsem v biosu daval legacy nebo UEFI rezim, si ten kram delal svoje.

Takze jsem se chtel zeptat na vase zkusenosti s podporou EFI nesmyslu v dnesnich distribucich a pripadne jak jste se s tim vyporadali. Ja jsem si z vcerejsiho vecera prinesl poznani, ze kamarad asi vazne neprehanel, kdyz mi vypravel, ze mel nejaky notes, kam krom Win10 neslo instalovat zhola nic.

Odpovědi

[Josef Kufner]

Když jsem nedávno instaloval Debian na jednoho Thinkpada, tak největší problém byl nabootovat z něčeho jiného než z disku. Pak už to je v pohodě.

Podpora EFI v Debianu je, jinde bych nečekal nic jiného. Aby EFI fungovalo, musíš nabootovat v EFI režimu. Nejde nabootovat v legacy režimu a nainstalovat EFI bootloader.

Takže napřed skoč do BIOSu, vypni Secure Boot, zapni EFI only režim (tj. žádné legacy blbosti) a vyházej všechna bootovací zařízení krom instalační flashky (měj ji připojenou, ať je vidět v seznamu). Tedy vyloženě cokoliv jiného než flashku zakaž. Pak by ti nemělo bootovat nic, nebo jen ta flashka.

Jakmile nainstaluješ základ systému, tak v BIOSu vyhoď flashku (měla by být na prvním místě) a měl by ti zbýt v seznamu nově nainstalovaný Linux, tedy přímo operační systém, nikoliv jen disk.

Na závěr doporučuju nainstalovat Sicherboot, inicializovat si Secure Boot klíče a nechat si ubalit EFI binárku z jádra a initrd (jsou tam nachystané hooky, které udělají vše samy). Pak můžeš zapnout Secure Boot a cítit se o něco bezpečněji.

[Pavel 'TIGER' Růžička]

Problém není ani tak legacy, či UEFI jako secure boot. No ještě jsem se nesetkal s notebookem, na který bych nic jiného nedostal. Pravdou ale je, že se vyhýbám lowendům, což Tvůj EliteBook nesplňuje a debian na něj nainstalovat lze, jak se tak dívám.

[Andrej]

SecureBoot podle mě není nejmenší problém. Fedora ho podporuje out-of-the-box, bez dalšího nastavení. Má totiž podepsaný bootloader Shim. V Archu se dá taky prostě buď nastavit Shim a na celou věc zapomenout, nebo se dá přidat do UEFI setupu klíč a pak podepisovat GRUB.

Nebo se taky dá SecureBoot vypnout — je to prostě checkbox v EFI setupu. Není to ideální dlouhodobá konfigurace, ale na dobu instalace … proč ne. Nebo se dá rovnou instalovat Fedora — tam bude SecureBoot fungovat ve striktním režimu už od instalačního média.

[Pavel 'TIGER' Růžička]

Fedoru bych zrovna moc nerazil, ale to je věc názoru.

[Andrej]

Já bych ji taky nerazil, nebýt ovšem KDE spinu, který je znamenitý — v implicitní variantě plní jinak Fedora stejnou úlohu jako Ubuntu, totiž odradit co nejvíc nových uživatelů svobodného desktopu.

Ať tak nebo tak, ve srovnání s děsem a hrůzou, které zvolil původní tazatel, bych řekl, že Fedora je pořád ještě skvělá volba a pro otestování SecureBoot a EFI je dvojnásob žádoucí.

[ewew]

V súčasnej podobe podpisovania je tento režim zbytočný. Jedine, že si užívateľ cez nejakú utilitu vygeneruje kľúče a podpíše zavádzač. Nasledne sa na nejaké médium uloží súkromný kľúč na prípadne overenie, či je kľúč ten správny.

[Andrej]

Obecně souhlasím, že striktní režim s implicitním klíčem není příliš užitečný, protože je vůči tomuto klíči podepsáno příliš mnoho bootloaderů a ne všem se dá věřit.

Ověření, zda je klíč správný, provádí EFI na základě veřejného klíče, který si tam uživatel může přidat. Podle soukromého klíče, kterým je zavaděč podepsaný, se žádné ověření nedělá.

Soukromý klíč si sice uživatel může uložit na "nějaké médium", ale proč by to dělal? Na EFI oddíle mám podepsaný GRUB a soukromý klíč příslušný k tomu podpisu je na druhém ("systémovém", "všechno ostatní") oddíle — samozřejmě uvnitř LUKS kontejneru. Takže běžící systém s otevřeným LUKS kontejnerem může normálně podepsat GRUB při každé jeho aktualizaci, nicméně získat ten soukromý klíč z vypnutého systému je asi tak ekvivalent útoku na celý LUKS.

[debian+]

Ja som mal potreboval spustit linux v LIVE. A kedze to bol herny notebook, tak to bralo len EFI. Vypalil som Fedoru na CD/DVD a v tej som to spustil v EFI.

[ok2zar]

Ono nebylo nijak tezke dostat se do boot menu a vybrat si, z jakeho media ma bios nabootovat, ale problem byl v tom, ze ve vsech pokusech jsem koncil na hlasce, ze image neni podepsana a ze si mam trhnout nebo to zkusit s jinym mediem...

Nejake pokusy i umravneni biosu se take nesetkaly s kladnou odezvou stroje. At jsem nastavil a ulozil v biosu cokoli, po dalsim bootu tam byl puvodni udaj. Proto jsem to po ctyrech hodinach vzdal. Dokonce jsem vyhrabal i DVD mechaniku a pres konvertor ji pripojil k USB, ale BIOS si zase mlel tu svoji o nepodepsanem obrazu... Za vrchol zoufalstvi povazuji krok, pri kterem jsem se rozhodl vyrobit EFI bootovaci USB flashku pomoci nejake utility (rufus?) abych dopadl stejne, jako pri vsech ostatnich pokusech...

OK, tak se pokusim poresit ten secureboot. Ne proto abych se citil bezpecne, ale abych se citil funkčně...

[Pavel 'TIGER' Růžička]

Secure boot musíš vypnout. Bez toho se nehneš. Teď tu mám dokonce HPéčko, které pro potvrzení změn v UEFI (říkáš tomu BIOS) po F10, která má sloužit k uložení hodnot, žádá opsání kódu a potvrzení enterem (pozor na černé obrazovce, takže nutno číst), jinak se změny neuloží a hodnoty změněné hodnoty se vrádí původního stavu!!! Jak to má Tvůj Elite, netuším, jen upozorňuji, s čím se můžeš potkat.

[Peter Golis]

Ono by stačilo keby netrval na verzii distra ktoré si až pred rokom všimlo že už roky existuje shim podpísaný od MS. Vtedy by sa nemusel trápiť, ale jednoducho by naštartoval Live/Install DVD a odklikal by to pomocou next/next/next/finish/reboot.

Holt, Debian Stable nie je zatiaľ moc vhodná voľba pre DualBoot.

[Peter Golis]

Vybral si si Debian, ktorý má popísanú stránku pre SecureBoot. Na tej stránke píšu že SecureBoot testujú na edícii Buster, ktorý je Debian Testing 10.
Ak trváš na Debian Stable, tak si vlez do UEFI BIOSu a kompletne zruš SecureBoot (vymaž kľúč nahraný Windows, a resetni TPM). Ak máš Windowsy, tak im môžeš zamávať.

A ak ti ide o nainštalovanie Linuxového desktopu v dualboote, tak si vyber distribúciu s verziou ktorá má podpísaný zavádzač LiveCD od toho monopolu. Napríklad Ubuntu ktoré to má IMO už vyše 4 roky. Alebo skús Debian Testing.

[ok2zar]

Jo, no tak jen to upresnim.

Nejde mi o dualboot. Cilem je tam dostat operacni system a ne grafickou nadstavbu biosu. To klikatko, co tam je, tusim se to hlasi jako W10, jde do /dev/null hned, jak to bude mozne, tedy jakmile se mi spusti instalator z flashky.

No a ohledne DEBu... Ja na nem nijak netrvam, ackoli jej mam nejradeji. Ubuntu je pro me naprosto OK a nemam s tim zasadni problem. Kdyby nebylo zbyti, dam tam klidne i Fedoru a jsem taky OK. Ja vim, ze DEB ve stable verzi neni zrovna nejflexibilnejsi, takze tomu dam klidne jeste sanci s Ubuntu...

[Peter Golis]

Čiže ak ti len ide len o používanie Linuxu a nevidíš benefit pri používaní SecureBoot-u, tak si vlez do do UEFI BIOSu pomocou F10, vyber advanced, a nastav pri "Secure Boot Configuration" položku "Configure Legacy Support and Secure Boot" na "Legacy Support Enable and Secure Boot Disable". A nabudúce nevyhadzuj návody na použitie, je to v nich pekne popísané.

Poprípade tam aj rovno zakáž aj samozvanú certifikačnú autoritu MS, a vymaž kľúče ktoré ťa nezaujímajú. Vtedy budeš v plnej kompatibilite 16bit BIOSu, a na inštalačnom médiu sa pri štarte objaví aj položka MemTest86. A nebudeš sa musieť

[Petr Šobáň]

A proč by měl UEFi vypínat.

1.) Pokud jsi windows už používal tak je znovu nastartuj a v windows vypni rychlé spouštění a nastav aby se při vypnutí windows skutečně vypnul. (Pokud to neuděláš může se právě UEFi bránit spustit jiné zařízení.)

2.) V nastavení biosu (UEFi) vypnout secure boot.

3.) Vložit flash s ubuntu a udělat restart a při startu vybrat boot z flash (ubuntu umí boot z UEFi) případně použít jiný linux.

4.) Zmenšit oddíl s windows a na volné místo nainstalovat linux, případně odstranit windows.

5.) Při odstranění windows odstranit položku UEFi s windows pomocí "efibootmgr -b 0000 -B" (windows asi budou na 0000 jinak změnit) a smazat soubory s windows na efi oddílu.

[Petr Šobáň]

PS. U některých UEFI se secure boot vypíná smazáním klíčů, není tam přímo položka na disable secure boot.

[Peter Golis]

Dal som si námahu a pozrel som príručku presne k jeho modelu. Nevaril som z vody ako ostatní diskutujúci.

[ok2zar]

Chlapi, diky za rady.

Natahl jsem jsem ubuntu IMG na flashku a aniz bych lezl do biosu, tak notes nabootoval, ubuntu je nainstalovano a po widlich uz (nastesti) ani pamatky.

Vecer to schvalne jeste prubnu s tim testovacim DEBem, ale kazdopadne se priste zamerim na SecBoot.

[pavele]

Mno, pokud jsi koupil notebook s Win, je podle mne škoda jej komlet odstranit, když byl v ceně. Osobně bych šel cestou dualboot.

[Pavel 'TIGER' Růžička]

Můj notebook má s desítkami společný jen ten štítek. Dualboot by mi akorát zabíral místo.

[Josef Kufner]

Licence v notebooku obvykle zůstane, neboť klíč bývá schovaný někde v NVRAM. Takže pokud chce Windows zpět, stačí někde popadnout instalační médium a má vystaráno.

[k3dAR]

licenci vycte takto:

strings -n29 /sys/firmware/acpi/tables/MSDM

[k3dAR]

proc skoda? kdyz na nic neni potreba, je dualboot zbytecne, maximalne to v krajnim pripade dat do virtualu...
jestli dobre pocitam, mam 7 stroji s win coa samolepkou a na vsech sem to komplet odstranil vcetne recovery oddilu...

[Andrej]

U dnešních distribucí je podpora EFI bezproblémová a spíš bych se obával podpory zastaralého BIOSu než podpory EFI. Rozumné distribuce (například Fedora, Arch) mají dual boot instalační média už snad 10 let nebo déle. Mimochodem, s Fedorou je dokonce SecureBoot rovnou funkční ve striktním režimu, bez jakýchkoliv dalších nastavení.

Provozuju Arch jak na nejnovějším Dell XPS 13 s Thunderbolt dockem, tak i na letošním Lenovu X1 Carbon a všechno tam funguje. HP EliteBook by neměl být až tak odlišný.

…aktualni stabilni debian…

Tohle^^^ je oxymoron. Nemůže být aktuální a zároveň "stabilní" (byť to slovo znamená něco zcela jiného [zastaralý], než co většina uživatelů očekává [spolehlivý]).

Doporučuji zkusit distribuci, která není jeden velký oxymoron. Stáhnout a nahrát flashdisk s Fedorou je otázka maximálně pěti minut — pak se hned ukáže, jestli to bootuje nebo ne.

[Josef Kufner]

Moje skušenost s EFI na Thinkpadu je taková, že v EFI režimu mnohem lépe funguje Intel grafika. Ovladače si asi nějak lépe pokecají s firmwarem a modesetting se bez sebemenšího problému hned chytne. Už si nevybavuju, co to v legacy režimu dělalo (a nechce se mi to zkoušet), ale bylo znát, že to není ono a i výkon byl horší.

[ewew]

A ako vysveliš oops a nasledne zlyhanie grafického výstupu pri určitej verzii jadra.

Arch je na hranie. Nie na realne použitie.

[k3dAR]

Mimochodem, s Fedorou je dokonce SecureBoot rovnou funkční ve striktním režimu, bez jakýchkoliv dalších nastavení.

*buntu na ktere neustale trapne hazis spinu, umi SecureBoot samozrejme take bez "jakýchkoliv dalších nastavení" a umel to drive nez Fedora (Ubuntu od 12.10 (2012/10), Fedora od 18 (2013/01))...

[Peter Golis]

Resp., podľa historických dokumentov bola pridaná podpora UEFI SecureBoot aj do 12.04.2 (14 February 2013). Ale štandardná podpora Ubuntu 12.04 je už skončená, a rozšírená (platená) podpora skončí za pár týždňov. Takže je to v súčasnej dobe jedno.

[Aleš Kapica]

Byl tady jeden takový tobě podobný fanoušek, který neustále adoroval Ubuntu. Zvláštní je, že se vytratil zhruba ve stejné době, kdy ses naopak objevil ty…

Každopádně, Ubuntu je LINUXOVÁ DISTRIBUCE, jedna z mnoha. Takže tvůj argument o tom jestli něco umí nebo ne je naprosto nesmyslný, protože to není zásluha Shuttlewortha a jeho peněz, ale mnoha jiných vývojářů s nimiž Ubuntu mělo společného jen to, že implementovalo jejich aplikace. Ostatně, tak jako jiné distribuce.

[Peter Golis]

A tí vývojári ukecali ľudí vo firme MicroSoft aby im podpísal linuxový zavádzač. Podľa teba to nebol ani Mark, a ani nik z RedHat. Určite to boli vývojári ktorí sa ani nebáli systemd. Kľudne pokračuj, vyznieva to ako humor z materskej škôlky.

[Aleš Kapica]

Na to abys mohl provozovat EFI boot nepotřebuješ podepsaný zavaděč. To bys mohl vědět. A tím kdo měl zájem na tom aby existoval zavaděč podepsaný Microsoftem nebyl Red Hat, ani Ubuntu, ale SUSE.

Chápu, že dnes je na tom spousta lidí blbě s pamětí, takže bych tímto připoměl, že 4. listopadu 2003 oznámil Novel že kupuje SuSE Linux AG za 210 miliónů dolarů. Koupě byla dokončena na počátku r. 2004. A o necelé dva roky později, 2. listopadu 2006, uzavřel Novell s Microsoftem dohodu o spolupráci. Takže Microsoft byl smluvně zavázán, aby umožnil zavádění linuxového jádra i v případě, že je zapnutý Secure Boot.

[Peter Golis]

To vyzerá pekne, až na jednu drobnosť:EFI Boot nerovná sa SecureBoot. To by si hádam mohol vedieť.

Pokračuj.

[Aleš Kapica]

Doporučuji důkladně znova přečíst první větu, a pak dočíst zbytek.

[Peter Golis]

Ja si nemusím znova prečítať tvoj príspevok aby som pochopil že na SecureBoot argumentuješ pomocou nesúvisiaceho EFI Bootu.

[youtuber]

Nez zacnes komentovat tak si to radeji 10x precti.

[Peter Golis]

Ďalší čo si myslí že je vtipný keď si pletie EFI Boot a Secure Boot. Pokračuj, aspoň sa ukážeš v zaumijauom svetle.

[k3dAR]

Unika ti ze tato vetev vyrostla na reakci ohledne SecureBoot, to bys mohl vedet kdy jsi pozorneji cetl...

Pripomenu clanek z roku 2012 https://www.root.cz/clanky/secure-boot-nepodepsanym-systemum-vstup-zakazan/ kde se mimo doctes:
"Za poslední týdny jsme měli možnost sledovat, jak se některé firmy, organizace či distribuce se Secure Boot poprali. Své k tomu řeklo mnoho lidí a Fedora, Ubuntu a Linux Foundation představili i nějaké řešení.", ovsem o SUSE neni v celem clanku ani zminka...
Naopak tady https://en.opensuse.org/openSUSE:UEFI vidim "openSUSE 12.3 has experimental support for the Secure Boot extension" 12.3 bylo vydano 2013/03, tedy jeste pozdeji nez ta Fedora...

[Aleš Kapica]

Pleteš si OpenSUSE se SUSE.

[k3dAR]

nepletu si openSUSE se SLES, jen sem pro SLES behem par vterin nedohledal zdroj, takze ok:
https://www.suse.com/documentation/sled11/book_sle_admin/data/sec_uefi_secboot.html
"SUSE provides this functionality with SLE11 SP3 on fresh installations with UEFI Secure Boot enabled." SLES11 SP3 vyslo 2013/07...

[k3dAR]

Byl tady jeden takový tobě podobný fanoušek, který neustále adoroval Ubuntu. Zvláštní je, že se vytratil zhruba ve stejné době, kdy ses naopak objevil ty…

Každopádně, Ubuntu je LINUXOVÁ DISTRIBUCE, jedna z mnoha. Takže tvůj argument o tom jestli něco umí nebo ne je naprosto nesmyslný, protože to není zásluha Shuttlewortha a jeho peněz, ale mnoha jiných vývojářů s nimiž Ubuntu mělo společného jen to, že implementovalo jejich aplikace. Ostatně, tak jako jiné distribuce.

takze ty ses jeste k tomu paranoidni? ne opravdu nejsem "Petr Tomeš".

i kdyz mas asi potrebu delat ze sebe hlupaka, zkus se podivat na co reagujes, ano je to ma reakce na Andreje kterej vyzdvihoval Fedoru ze umi out-of-box SecureBoot, ja jen upozornil ze *ubuntu to umi take a prislo s tim i o par mesicu drive...

To ze s tim prislo bylo tak ze Canonical (nikoliv jina distribuce nebo autor nejake "komponenty") se domluvil s Microsoftem na podepsani Ubuntu zavadece...

[Aleš Kapica]

takze ty ses jeste k tomu paranoidni? ne opravdu nejsem "Petr Tomeš".

Vykazuješ stejné rysy. Každému normálnímu člověku je u zadku, jestli jeho distribuce potřebnou funkcionalitu získala dříve či později. Podstatné je pro něj pouze to, jestli ji má.

[k3dAR]

take mi pripominas jednoho namysleneho vola a nemyslim ze jsi to ty...
ja ragoval "Fedorou je dokonce SecureBoot rovnou funkční ve striktním režimu, bez jakýchkoliv dalších nastavení." od Andreje, kterej ma ve zvyku nadavat na *buntu, takze na me reakci ze Ubuntu to umi take a pro zajimavost uvedl i ze drive...

[Pavel 'TIGER' Růžička]

Ona i ta podstata té funkcionality není tak důležitá, protože distribuce se dá provozovat i bez ní.

[Laco]

Ubuntu 16.04/18.04 bez problemov UEFI + secureboot s proprietarnym NVIDIA ovladacom.