Dotaz: Secure Boot Debian

[Peter Karamelka]

Mám na jednom disku OS Windows 11 s podporou Secured Boot. BIOS nastavený na Secure Boot Windows OS. Pri inštalácií, aby sa zaviedol inštalátor Debianu 12 s možnosťou EFI, som musel zmeniť BIOS na voľbu Other OS. Inštalátor sa spustil s podporou EFI. Po nainštalovaní OS Debian 12 s EFI partícoiu sa OS nezavedie. Nespustí sa ani úvodná obrazovka s GRUB. Dokonca ani KALI Linux, ktorý bol nainštalovaný s podporou secured boot a zavádzal sa bez problémov sa prestal zavádzať. Prosím, ako zabezpečiť, aby to začalo zavádzať obe systémy. Bola menená pred časom batéria CMOS.

Odpovědi

[X]

Mas v BIOSu/EFI korektne zavedeny shim, vlastni klice k tvemu OS? Pokud nevis => nastuduj si to napoveda

[Peter]

Ďakujem Výstup príkazov:

bootctl
System:
      Firmware: UEFI 2.60 (American Megatrends 5.12)
 Firmware Arch: x64
   Secure Boot: disabled (disabled)
  TPM2 Support: yes
  Boot into FW: supported

od --address-radix=n --format=u1 /sys/firmware/efi/efivars/SecureBoot-*
   6   0   0   0   0

sbctl tento príkaz chýba v Debiane

Postupoval som nasledovne:

Copilot
Ak chcete schváliť MOK kľúče pod OS Debian, musíte postupovať nasledovne12:
    • Vytvorte si nový kľúčový pár pomocou príkazu openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=My Machine Owner Key/"
    • Skopírujte súbor MOK.der do adresára /boot/efi/EFI/debian/
    • Zaregistrujte kľúč pomocou príkazu mokutil --import /boot/efi/EFI/debian/MOK.der
    • Zadajte heslo, ktoré budete používať na overenie kľúča
    • Reštartujte systém a pri štarte zvoľte možnosť “Enroll MOK”
    • Zadajte heslo, ktoré ste zadali v predchádzajúcom kroku
    • Potvrďte odtlačok certifikátu a zvoľte možnosť “Yes”
    • Pokračujte v štarte systému

Po reštartovaní PC mi nenabehne voľba možnosti “Enroll MOK”
Ale ihneď sa začne zavádzať OS.
Raz som to už robil a fungovalo to, už na konci inštalácie Debianu sa objavila možnosť “Enroll MOK”,ale teraz už v záverečnej fáze inštalácie sa nezobrazila možnosť “Enroll MOK”.
Škoda, lebo ináč celkom vydarená distribúcia.

[X]

Asi bude pro tebe lepsi zustat u Windows, tam se vsechno deje "samo". Btw. MokManager vyzaduje shim pokud se nepletu.

[Peter]

To áno, lebo nemám čas na ten Linux. V podstate Windows sa od určitého času stal vydareným OS. Používať Linux bez podpory active directory ...., pritom hodiny riešiť problémy ... Kto zaplatí správcu OS linux? To kúpim serverovú verziu Windows a je pokoj. Je to škoda, ale roky skúšam, či vyhodiť Windows, a prejsť na Linux a stále mi vychádza, že ak mám využívať programy a nie riešiť problémy tak potom Windows je správna voľba, aj keď používam väčšinou programy GNU.

[Aleš Kapica]

V podstate Windows sa od určitého času stal vydareným OS.

Ty jsi asi upadl. Microsoft zachraňuje co se dá implementací WSL, jenže si tím řeže větev pod zadkem. Ostatně ty sám jsi toho důkazem, jinak bys to nezakončil slovy:

.. používam väčšinou programy GNU.

Každý kdo jede v GNU dříve nebo později dojde k závěru, že ho prostředí MS Windows omezuje a zbytečně užírá, diskový prostor, RAM a výkon CPU aniž by přinášelo něco navíc.

[Peter Golis]

Nestačilo by v BIOSe vybrať že má štartovať SHIM/GRUB namiesto Windows Boot Loader-a (a vypnúť rýchly štart Windows)?

Debian je už roky podpísaný kľúčmi pre MS, takže kľúčami to nebude.

[Peter]

Nemám takú možnosť. Mám iba OtherOS. Celé sa to od určitého času zle správa. Pri bootovaní musím najskôr nastaviť Windows-EFI, potom začnem bootovať OS Debian tým, že zvolím disk s OS Debian. Objaví sa varovanie, neautorizovaný OS. Potom opäť do nastavení BIOS a zmena režimu Secure Boot na OtherOS, potom OS Debian sa zavedie bez problémov. Ináč sa nezavedie ani GRUB.

[Peter Golis]

Boli dosky ktoré sprístupnili ďalší zavádzač až keď si manuálne vybral v BIOSe ten nový zavádzač. A bolo to schované v inej časti ako pri výbere typu SecureBoot Windows/Othher OS.

Viac info máš v aktuálnom návode na použitie tvojej dosky alebo notebooku.