valdikss/super-uefiinsecureboot-diskSuper UEFIinSecureBoot Disk: Démarrer n'importe quel OS ou fichier .efi sans désactiver UEFI Secure Boot
Super UEFIinSecureBoot Disk est une image amorçable proof-of-concept (non activement maintenue ou améliorée) avec chargeur de démarrage GRUB2 conçue pour être utilisée comme base pour les clés USB de récupération.
Fonctionnalité clé : le disque est entièrement fonctionnel avec le mode Secure Boot UEFI activé. Il peut lancer n'importe quel système d'exploitation ou fichier .efi, même avec une signature non fiable, invalide ou manquante.
Secure Boot est une fonctionnalité du firmware UEFI conçue pour sécuriser le processus de démarrage en empêchant le chargement de pilotes ou de chargeurs de systèmes d'exploitation qui ne sont pas signés avec une signature numérique acceptable.
La plupart des ordinateurs modernes sont livrés avec Secure Boot activé par défaut, ce qui est une exigence pour le processus de certification Windows 10. Bien qu'il puisse être désactivé sur toutes les cartes mères typiques dans le menu de configuration UEFI, il n'est parfois pas facilement possible, par exemple en raison d'un mot de passe de configuration UEFI sur un ordinateur portable d'entreprise que l'utilisateur ne connaît pas.
Ce disque, après avoir été installé sur une clé USB et démarré, désactive efficacement les fonctionnalités de protection Secure Boot et permet temporairement d'effectuer presque toutes les actions sur le PC comme si Secure Boot était désactivé. Cela peut être utile pour la récupération de données, la réinstallation du système d'exploitation, ou simplement pour démarrer à partir d'une clé USB sans avoir à penser à des étapes supplémentaires.
Téléchargez le fichier image depuis la page des versions, écrivez-le sur une clé USB en utilisant l'un des programmes suivants :
ATTENTION : toutes les données de votre clé USB seront supprimées.
L'image contient une seule partition FAT32 de 500 Mo. Utilisez gparted ou un outil similaire pour la redimensionner et obtenir tout l'espace du disque USB.
Lors du premier démarrage sur un PC avec Secure Boot, une boîte de message "Violation d'accès" (Access Violation) apparaîtra. Appuyez sur OK et choisissez l'option de menu "Enroll cert from file". Sélectionnez ENROLL_THIS_KEY_IN_MOKMANAGER.cer et confirmez l'enrôlement du certificat.
Les ordinateurs sans Secure Boot démarreront sur GRUB sans intervention manuelle.
Ce disque fonctionne-t-il avec Secure Boot ?
Oui, il fonctionne. Il charge tout noyau Linux non signé ou non fiable, ou fichier .efi ou pilote, après un enrôlement manuel de clé lors du premier démarrage à l'aide du logiciel MokManager. Vous n'avez pas besoin de désactiver Secure Boot pour effectuer l'enrôlement de clé lors du premier démarrage.
Ce disque fonctionne-t-il sur les ordinateurs UEFI sans Secure Boot, ou avec Secure Boot désactivé ?
Oui, il fonctionne comme un GRUB2 standard.
Ce disque fonctionne-t-il sur les anciens ordinateurs avec BIOS ?
Oui, il fonctionne comme n'importe quel autre chargeur de démarrage GRUB2.
Ce disque peut-il être utilisé pour contourner Secure Boot en cas de bootkit/virus UEFI ?
Non, pas vraiment. Ce disque nécessite une intervention manuelle d'un utilisateur physique lors du premier démarrage, ce qui élimine l'objectif de furtivité du bootkit.
Puis-je remplacer GRUB par un autre chargeur de démarrage EFI (rEFInd, syslinux, systemd-boot) ?
Oui, remplacez grubx64_real.efi/grubia32_real.efi par vos fichiers. Le chargeur de démarrage n'a pas besoin d'être signé et devrait également lancer tous les fichiers .efi grâce à la politique de sécurité installée par grubx64.efi/grubia32.efi (PreLoader), tout comme GRUB2 inclus dans le disque.
Le processus de démarrage UEFI de ce disque s'effectue en 3 étapes.
bootx64.efi (shim) → grubx64.efi (preloader) → grubx64_real.efi (grub2) → EFI file/OS
Étape 1 : la carte mère charge shim. Shim est un chargeur spécial qui charge simplement l'exécutable suivant, dans notre cas grubx64.efi (preloader). Shim est signé avec la clé Microsoft, ce qui lui permet d'être lancé en mode Secure Boot sur toutes les cartes mères de PC standard.
Shim contient un certificat Fedora intégré (car il est extrait du dépôt Fedora). Si Secure Boot est activé, puisque grubx64.efi n'est pas signé avec le certificat Fedora intégré, shim lance un autre exécutable, MokManager.efi, qui est un logiciel de gestion des clés shim. MokManager demande à l'utilisateur de procéder au processus d'enrôlement de clé ou de hachage.
Les versions plus récentes de shim installent des hooks pour les fonctions UEFI LoadImage, StartImage, ExitBootServices et Exit afin de "durcir contre les chargeurs de démarrage non participants", ce qui doit être contourné pour le cas d'utilisation de ce disque. Le shim de Fedora n'installe pas de politiques de sécurité UEFI personnalisées, c'est pourquoi il n'est pas possible de charger des fichiers efi auto-signés à partir d'un chargeur de démarrage de deuxième étape, même si vous ajoutez leurs hachages ou certificats avec MokManager.
Étape 2 : le preloader est un logiciel similaire à shim. Il effectue également une validation de l'exécutable et charge le fichier efi suivant. Le preloader inclus dans ce disque est une version allégée qui n'effectue qu'une seule fonction : installer une politique de sécurité UEFI tout-permis. Cela permet le chargement d'exécutables efi arbitraires avec les fonctions UEFI LoadImage/StartImage même en dehors de GRUB (par exemple, dans UEFI Shell), et contourne le durcissement de shim.
Étape 3 : GRUB2 est un chargeur de démarrage universel bien connu. Il a été patché pour charger un noyau Linux sans vérification supplémentaire (commandes linux/linuxefi), charger des binaires .efi en mémoire et sauter vers leur point d'entrée (commande chainloader), et pour imiter un "chargeur de démarrage participant" pour shim.
Lisez mon article sur ce sujet : Exploiting signed bootloaders to circumvent UEFI Secure Boot (également disponible en russe)
Super UEFIinSecureBoot Disk GRUB2 définit la variable suisbd=1. Elle peut être utilisée pour détecter le GRUB2 patché du disque dans un grub.conf partagé entre plusieurs chargeurs de démarrage.
Depuis la version 3, GRUB utilise le chargeur de fichier .efi UEFI standard, car il y avait des problèmes avec l'implémentation du chargeur interne. Pour utiliser le chargeur interne, ajoutez set efi_internal_loader=1 dans le fichier de configuration GRUB. Les deux méthodes peuvent charger des fichiers .efi non fiables.
