このリポジトリは、shim への署名依頼をレビューするためのものです。レビューを依頼するには:

このリポジトリをクローンしてください（できればフォークしてください）
以下のテンプレートを編集してください
署名対象の shim.efi を追加してください
ビルドログを追加してください
必要となる可能性のある追加のバイナリ/証明書/SHA256 ハッシュを追加してください
それらをすべてコミットしてください
"myorg-shim-arch-YYYYMMDD" 形式のタグを付けてください
GitHub にプッシュしてください
タグへのリンクを添えて、https://github.com/rhboot/shim-review/issues に issue を登録してください
あなたの issue に accepted ラベルが追加されたら、承認が完了です

なお、当方は Linux 上での GRUB2 または systemd-boot の使用経験しか実質的にありません。そのため、それ以外のものへの署名を承認してもらうには、それなりの説得力のある説明が必要になります。

2025年10月20日時点で、Microsoft に送られた shim は 2011 年と 2023 年のキーで署名されます。提出した各 shim について、それぞれ異なるキーで署名された 2 つのコピーが返却されます。Microsoft からの最新情報はこちら: https://techcommunity.microsoft.com/blog/hardware-dev-center/signing-with-the-new-2023-microsoft-uefi-certificates-what-submitters-need-to-kn/4455787

新しい署名要件も有効になっており、こちらで確認できます: https://techcommunity.microsoft.com/blog/hardware-dev-center/updated-microsoft-uefi-signing-requirements/1062916 この shim レビューを受けることで、shim がオープンソースのブートローダーにのみ引き渡す限り、年次のセキュリティ監査が免除されることに注意してください。

ヒント: 提出方法と shim の署名取得に関するガイダンスについては、このリポジトリの docs ディレクトリを確認してください。

以下がテンプレートです:

どの組織または人々がこの署名を求めていますか？

組織名とウェブサイト:
[ここにテキストを記入]

組織の正当性を証明する法的データは何ですか？

[ここにテキストを入力] ******************************************************************************* ### 対象となる製品またはサービスは何ですか? ******************************************************************************* [ここにテキストを入力] ******************************************************************************* ### 世界中の誰もが起動できるように、これが本当に署名される必要があるという正当な理由は何ですか? ******************************************************************************* [ここにテキストを入力] ******************************************************************************* ### すでに署名されている別のディストリビューションのshimを再利用できないのはなぜですか? ******************************************************************************* [ここにテキストを入力] ******************************************************************************* ### セキュリティ更新などの第一連絡先は誰ですか? セキュリティ連絡先は、shim が受け入れられる前に検証される必要があります。その後のリクエストでは、セキュリティ連絡先またはその PGP キーが前回の検証成功以降に変更された場合にのみ、連絡先の検証が必要です。許可されたレビュアーが、各セキュリティ連絡先にランダムな単語を含む PGP 暗号化メールを送信して、連絡先の検証を開始します。これらのメールの内容を自分の `shim-review` イシューに投稿して、メールアドレスと PGP キーの所有権を証明するよう求められます。 PGP キーを keyserver.ubuntu.com などのよく知られたキーサーバーにアップロードし、および/またはレビューに .asc ファイルとして含めて、ここでそれらを参照してください。 ******************************************************************************* - 名前: - 役職: - メールアドレス: - PGPキーのフィンガープリント: - ファイル/キーサーバーの場所: ******************************************************************************* ### セキュリティ更新などの第二連絡先は誰ですか? ******************************************************************************* - 名前: - 役職: - メールアドレス: - PGPキーのフィンガープリント: - ファイル/キーサーバーの場所: ******************************************************************************* ### これらのバイナリは16.1 shimリリースtarから作成されましたか? 16.1 shim リリース tar ファイルから始めて、自分の shim バイナリを作成してください: https://github.com/rhboot/shim/releases/download/16.1/shim-16.1.tar.bz2 これは https://github.com/rhboot/shim/releases/tag/16.1 に対応し、適切な gnu-efi ソースが含まれています。 tarball が正しいことを確認するには、ダウンロードのチェックサムを検証してください (SHA256, SHA512) を以下のものと照合してください:``` 46319cd228d8f2c06c744241c0f342412329a7c630436fce7f82cf6936b1d603 shim-16.1.tar.bz2 ca5f80e82f3b80b622028f03ef23105c98ee1b6a25f52a59c823080a3202dd4b9962266489296e99f955eb92e36ce13e0b1d57f688350006bba45f2718f159fb shim-16.1.tar.bz2

shim-review

人気

バイナリの生成元となった正確なコードを含むリポジトリの URL:

適用されているパッチとその理由:

shim に NX ビットを設定していますか？設定している場合、ブートスタック全体は NX 互換ですか？また、その互換性を確保するためにどのようなテストを行いましたか？

GRUB2 の Secure Boot の実装は具体的にどれを使用していますか？（Upstream GRUB2 の shim_lock ベリファイア、または Downstream の RHEL/Fedora/Debian/Canonical 系の実装のいずれか）

以下のすべての GRUB2 CVE に対する修正を適用していますか？

shim が GRUB2 ブートローダーを読み込んでいて、これらの修正が適用されている場合、GRUB2 バイナリの upstream グローバル SBAT generation は 5 に設定されていますか？

検証のため、および将来の DBX アップデートに追加するために、古い shim のハッシュを Microsoft に提供しましたか？

新しい信頼チェーンは、CVE の影響を受ける古い GRUB2 ビルドの起動を禁止していますか？

ブートの信頼チェーンに Linux カーネルが含まれる場合:

upstream コミット 1957a85b0032a81e6482ca4aab883643b8dae06e "efi: Restrict efivar_ssdt_load when the kernel is locked down" は適用されていますか？

upstream コミット 75b0cea7bf307f362057cc778efe89af4c615354 "ACPI: configfs: Disallow loading ACPI tables when locked down" は適用されていますか？

upstream コミット eadb2f47a3ced5c64b23b90fd2a3463f63726066 "lockdown: also lock down previous kgdb use" は適用されていますか？

Secure Boot を有効にしてシステムが動作しているとき、署名済みカーネルは lockdown をどのように強制しますか？

署名済みカーネルを追加のローカルパッチでビルドしていますか？それらは何をするものですか？

カーネルモジュールの署名に一時鍵（ephemeral key）を使用していますか？

使用していない場合、あるカーネルビルドが別のカーネル用にビルドされたモジュールを読み込まないようにする方法を説明してください。

複数の証明書やハッシュを提供する vendor_db 機能を使用している場合、証明書の設定について簡単に説明してください。

許可リストに登録されたハッシュがある場合、検証用に匿名アクセス可能な公開ファイル共有サービスを介して、ハッシュが作成された正確なバイナリを提供してください。

前回の shim バイナリの CA 証明書を再利用する場合、前述の CVE にさらされた以前の GRUB2 バイナリのハッシュを shim の vendor_dbx に追加する必要があります。その戦略を説明してください。

リポジトリ内の Dockerfile は、shim バイナリのビルドを再現するためのレシピですか？

このリポジトリ内のどのファイルがビルドのログですか？

SHIM が最後に署名されてから、ディストリビューションのセキュアブートチェーンにどのような変更が加えられましたか？

最終的な shim バイナリの SHA256 ハッシュは何ですか？

shim で使用する鍵をどのように管理・保護していますか？

shim に埋め込む証明書として EV 証明書を使用していますか？

shim に CA 証明書を埋め込んでいますか？

SBAT メタデータをサポートする各バイナリ（GRUB2、fwupd、fwupdate、systemd-boot、systemd-stub、shim + すべての子 shim バイナリ）の SBAT セクションに、ベンダー固有の SBAT エントリを追加していますか？

shim を介して直接起動するすべてのバイナリの正確な SBAT エントリを提供してください。

shim が GRUB2 ブートローダーを読み込む場合、署名済み GRUB2 イメージにはどのモジュールが組み込まれていますか？

arm64 または riscv で systemd-boot を使用している場合、未検証の Devicetree Blob の読み込みの修正は含まれていますか？

ブートローダー（GRUB2 または systemd-boot またはその他）の出所と完全なバージョン番号は何ですか？

ブートローダー以外に shim が起動するコンポーネントがある場合、起動されるものについて詳しく教えてください。

SecureBoot モードで、GRUB2 または systemd-boot が Linux カーネル以外の他のバイナリを起動する場合、起動されるものと、それが Secureboot lockdown をどのように強制するかについて詳しく教えてください。

起動されたコンポーネントは、認証されていないコードの実行をどのように防いでいますか？

shim は、未署名カーネルの読み込みをサポートするローダー（例: 特定の GRUB2 構成）を読み込みますか？

どのカーネルを使用していますか？ Secure Boot を強制するために、どのパッチと構成が含まれていますか？

他の申請者のアプリケーションをレビューするために、どのような貢献をしましたか？

この shim 署名申請を検証するために必要と思われる追加情報を記載してください。