Dotaz: Sicherboot

[Petr Fiedler]

Zdravím,
pokouším se na nb rozchodit Sicherboot, ale nedaří se mi to. Nainstaloval jsem jej, vytvořil jsem soubor /etc/kernel/cmdline a dal jsem do něj root=/dev/int/rootfs splash quiet net.ifnames=0, spustil setup, na vše odpověděl "y" a rebootoval do BIOSu. Tam jsem zapnul "Custom Mode" a smazal všechny klíče. Nedaří se mi ale nahrát do BIOSu klíče z /EFI/Keys/*/ . Nejde mi to ani z BIOSu, ani z té modré obrazovky při bootu. Zkoušel jsem všechny typy klíčů se všemi příponami, ale nedaří se mi to a na netu nemůžu najít žádný návod. Jak na to?

Odpovědi

[k3dAR]

a s vypnutym secureboot ti to startuje?

klice si importoval v jakem poradi? spravne je: db, KEK, PK
(format klicu doporucene volit v tomto poradi: auth, esl, cer)
zkus v biosu jen smazat klice a import pres "KeyTool" (modrou obrazovku :)

[Petr Fiedler]

S vypnutým SB mi to startuje. Se zapnutým jsem to ani nezkoušel, protože se mi klíče nedaří nahrát.

Jak přesně se to v tom KeyTool dělá?

[Petr Fiedler]

V BIOSu i v KeyTool mi jde přidat pouze db. Když pak např. v BIOSu chci přidat KEK, protože PK nemá aktivní tlačítko "Append Key", u všech formátů dostanu stejnou chybovou hlášku: "Error appending key. Please make sure that the new key is signed and formatted properly." Smazal jsem všechny klíče v /EFI/Keys/*/ a taky v /EFI/ , protože tam jsem měl všechny typy klíčů ve formátu esl (asi se tam dostaly omylem, když jsem zkoušel replace) a spustil jsem znovu sicherboot setup, ale nepomohlo to. KEK tam prostě nedostanu.

[Petr Fiedler]

Ještě jsem teď aktualizoval BIOS. Zítra si s tím ještě zkusím pohrát. Uvidíme.

[Petr Fiedler]

Nepomohlo to. Z "Edit Keys" mi jde nahrát pouze db v jakémkoliv formátu. Z "Machine Owner Key List" taky a jde odtam nahrát i KEK, ale ne .auth, ale esl. PK nejde odnikud a navíc v /EFI/Keys/*/ nejsou PK.esl a PK.cer, ale je tam pouze PK.auth.

Odinstaloval jsem sicherboot. Přesto, že jsem použil --purge i autoremove, tak se mi po bootu stále spouštěl ten KeyTool a zůstalo tam i to boot menu. Naštěstí systém bootoval. Pak jsem dal rm -r /boot/efi/Keys, přeinstaloval Sicherboot a znovu spustil setup a na vše odpověděl "y". V /etc/kernel cmdline zůstal i s obsahem, takže jsem jej neřešil. Ničemu to všechno ale nepomohlo. OS bootuje, ale klíče mi nahrát nejdou. V pondělí zavolám na podporu DELLu.

[k3dAR]

MOK te zajima az kdyz bys mel napr. Nvidii nebo VirtualBox (resp. kdyz mas pridane 3rd jaderne moduly ktere je potreba tim podepisovat)
v KeyTool "nejde nahrat" znamena co? nic se nestane, hodi to error(jakej?)?
myslim ze pokud nahrajes nektere(nejsem si ted jistej pro ktere z tech 3/4 to plati) klice spatne, je potreba znovu v BIOSu resetovat coz prepne SecureBoot do setup rezimu...

[Petr Fiedler]

S tím resetováním je mi to jasné. Po každém neúspěšném pokusu v BIOSu provedu "Reset keys" a pro jistotu i "Delete all keys". Jdu to zkusit a vše si zapíšu a pak to sem vložím.

[Petr Fiedler]

V BIOSu jsem vyresetoval a smazal všechny klíče. Pak jsem v KeyTool zvolil "Edit Keys" a vybral db. Nahoře na obrazovce bylo napsáno "Select key to manipulate" a pod tím bylo "Variables is empty". "Doklikal" jsem se až na db.auth a zvolil jej. IMHO se přidal, protože to neskončilo žádnou chybou a když jsem znovu zkusil přidat db, tak už tam "Variables is empty" nebylo. Pak jsem zkusil postupně přidat KEK.auth, KEK.esl a KEK.cer. Vždy to skončilo chybou "Failed to update variable: (2) Invalid Parameter". Tak jsem v BIOSu resetoval a smazal všechny klíče a v KeyTool jsem tentokrát nahrál db.esl. Poté jsem u všech 3 KEK postupně dostal stejnou chybu. Pak zase reset, pak jsem nahrál db.cer, postupně zkusil všechny 3 KEK a opět stejná chyba. U PK v KeyTool ani "Add Key" není, jenom "Replace". Celou dobu mám samozřejmě zapnutý "Custom Mode".

[k3dAR]

po hledani upresnim, kdyz sem psal resetovat klice myslel sem obecne, konkretne ale vidim z nejakeho Dell manualu, ze ResetAllKeys maji volbu ktera vrati vychozi klice, a dulezite je prave to DeleteAllKeys ktere si sice delal ale misto "pro jistotu" ze je to "pro nutnost" :)
nicmene proc ti to nejde teda stale netusim...

[Petr Fiedler]

Taky to upřesním. Já jsem to dělal dobře, ale špatně napsal. Používal jsem pouze tlačítko "Delete all keys". Když si pak psal o resetu, začal jsem před tím používat ještě tlačítko "Reset all keys". Takže jsemm to dělal dobře, ale napsal nepřesně. Ale to je jedno. Podstatné je, že mi je to stejně k ničemu.

[Petr Fiedler]

Tak jsem zavolal do DELLu. Myslím, že kdyby mě tam přijali jako zaměstnance, tak bych tam i se svými chatrnými znalostmi byl docela za frajera. Pán absolutně nevědel o čem mluvím a nemohl ani pochopit otázku. Masakr.

[k3dAR]

cekal sem neco takoveho, preci jen je to specialitka a infolinka s radama "zkouseli jste to vypnout a zapnout" z toho bude zmatena :)

skoda ze nemas KVM-Over-IP, bych se na to podival vzdalene :)

[Petr Fiedler]

skoda ze nemas KVM-Over-IP, bych se na to podival vzdalene :)

A to by nešlo nějak pořešit?

Intel má IMEI, to by nestačilo?

[Peter Golis]

Použitie Intel MEI pôvodne bolo licencované, a vyžadovalo pripojiť sa na nejaký centrálny server na ktorý boli zakúpené korporátne licencie.

Už je na to nejaká Open Alternatíva? Nesledujem to, mám to vypnuté. Len sa pýtam.

[Petr Fiedler]

Vypadá to, že o tom víš více, jako já.

[Peter Golis]

Ani nie, len si pamätám ako na to takmer každý nadával.

Z domácich užívateľov to nikto nemal aktívne, lebo licencie. A zamestnanci korporátov aj tak podliehali inej bezpečnostnej politike aplikovanej na firemnom notebooku.

[k3dAR]

btw: co ze je to za model Dellu?

[Petr Fiedler]

DELL Inspiron 7773 2v1.
Servisní příručka
Nastavení a technické údaje

[Petr Fiedler]

Existuje více variant. Moje by měla být tahle.

[k3dAR]

sice jinej Dell a nepatrne jinej dotaz, ale take ma problem importovat vlastni klice v BIOSu a odpoved:
this sin't something that we normally support so I can't answer your question [...] s tim ze odkazal na zdroje pojednavajici obecne o SecureBoot

nicmene nenachazim nic ve spojeni s tvojim, a nic zajimaveho obecne pro Dell...

[Petr Fiedler]

Sicherboot vzdávám.
Díky.

[Petr Fiedler]

Jen pro klid duše. Můžeš mi prosím tě napsat, jak PŘESNĚ klíč nahráváš? Na modré obrazovce vybereš ...?

[k3dAR]

z hlavy ted presne nevim, ale je to tam myslim jednoznacne, add/replace a postupne pro db,KEK,PK v tomto poradi (alespon sem s pamatoval ze podle abecedy a zaroven zkusil sicherboot setup kterej to hlasa), pak kontroluju ze misto empty je tam ten klic, s tim ze pro "prehlednost" sem si v /etc/sicherboot/sicherboot.conf pred generovanim klicu (resp. lze znovu pustit sicherboot setup) odkomentoval&upravil radek KEY_CN="muj_hostname" a ten pak je videt v KeyTool i importovaneho klice...