Zavádění linuxového jádra podepsaného vlastními klíči

Greg Kroah-Hartman zveřejnil na svém blogu návod, jak na počítači s UEFI secure bootem zavést linuxové jádro podepsané vlastními klíči.

4.9.2013 10:27 | Ladislav Hagara | Zajímavý článek

Komentáře

[foldy]

hustý :) tak snad už UEFI nebude secure bootem otravovat životy dalších lidí... další option +1

[Conscript89]

No, odkazovany text je "jen" o tom ze neni potreba podepsany bootloader typu shim, grub, gummiboot, elilo (, cokoliv). Ono jadro umi v UEFI uz dlouho se tvarit jako bootloader a jen se spusti (+ veci typu exit boot services a tak, je tam takovy pahyl bootloaderu v nem), ted je akorat potrebne mit podespsany bootloader, takze popisuje jak si podepsat takove jadro.
Pokud chces bootovat s SB, porad musis mit klice k tvemu bootloaderu (jadru) v pameti stroje.

[Michal Kubeček]

Ono jadro umi v UEFI uz dlouho se tvarit jako bootloader

Ta idea, že image jádra funguje jako bootloader, je podstatně starší než UEFI. Kdysi se bootovací diskety vytvářely tak, že se pomocí dd nakopírovalo jádro na /dev/fd0 a pomocí rdev se do něj na určenou pozici zapsalo major a minor číslo zařízení s kořenovým filesystémem.

[Kvakor]

Nejen to, ono tam šlo zapsat i offset, na kterém začínal initramdisk a interní loader ho načetl hned po načtení jádra. BIOSu je totiž úplně putna, co je v prvním sektoru, pokud jsou poslední dva byty 0x55 0xAA, tak ho načte od paměti 0x7C00 a spustí.

[Michal Kubeček]

Možná už si to pamatuju špatně, ale IIRC tu signaturu nekontroloval BIOS, ale až právě kód v tom prvním sektoru, a to ještě jen u hard disku (kvůli čemuž hlavní partition tabulka začínala na nesmyslné pozici 512 - 64 - 2). Tedy pokud tam byl ten původní DOSový a ne třeba LILO.

[Kvakor]

Kontrolovali ji oba dva - jak BIOS, tak tzv. master boot loader v MBR (obdoba 1st stage loaderů u LILA a Grubu), který vlastně napodoboval BIOS, jen se navíc díval jestli je příslušná partition nastavená jako bootovatelná (teoretickym mohla být bootvatelná jakákoliv, ale v praxi šlo bootovat jen z přimárních). Nejspíš z toho důvodu, aby jak u floppy, tak u harddisku fungoval stejný kód.