valdikss/super-uefiinsecureboot-diskSuper UEFIinSecureBoot Disk: UEFI Secure Boot를 비활성화하지 않고 모든 OS 또는 .efi 파일을 부팅합니다.
Super UEFIinSecureBoot Disk는 개념 증명(적극적으로 유지 관리되거나 개선되지 않음) 부팅 가능한 이미지로, GRUB2 부트로더를 포함하며 복구 USB 플래시 드라이브의 기반으로 사용되도록 설계되었습니다.
주요 기능: 디스크는 UEFI Secure Boot 모드가 활성화된 상태에서 완전히 작동합니다. 신뢰할 수 없거나, 유효하지 않거나, 서명이 없는 .efi 파일이나 운영 체제를 실행할 수 있습니다.
Secure Boot는 UEFI 펌웨어의 기능으로, 허용 가능한 디지털 서명으로 서명되지 않은 드라이버나 OS 로더의 로딩을 방지하여 부팅 프로세스를 보호하도록 설계되었습니다.
대부분의 최신 컴퓨터는 기본적으로 Secure Boot가 활성화된 상태로 제공되며, 이는 Windows 10 인증 프로세스의 요구 사항입니다. 일반적인 모든 마더보드의 UEFI 설정 메뉴에서 비활성화할 수 있지만, 사용자가 모르는 회사 노트북의 UEFI 설정 비밀번호 등으로 인해 쉽게 비활성화하지 못할 수도 있습니다.
이 디스크는 USB 플래시 드라이브에 설치되어 부팅된 후, Secure Boot 보호 기능을 효과적으로 비활성화하고 Secure Boot가 비활성화된 것처럼 PC에서 거의 모든 작업을 일시적으로 수행할 수 있게 합니다. 이는 데이터 복구, OS 재설치, 또는 추가 단계를 고민하지 않고 USB 부팅에 유용할 수 있습니다.
릴리즈 페이지에서 이미지 파일을 다운로드하고, 다음 프로그램 중 하나를 사용하여 USB 플래시에 기록하세요:
경고: USB 플래시의 모든 데이터가 삭제됩니다.
이미지에는 단일 FAT32 500MiB 파티션이 포함되어 있습니다. gparted 또는 유사한 도구를 사용하여 크기를 조정하여 USB 드라이브 공간을 모두 확보하세요.
Secure Boot가 활성화된 PC에서 처음 부팅하면 Access Violation 메시지 상자가 나타납니다. 확인을 누르고 "파일에서 인증서 등록" 메뉴 옵션을 선택하세요. ENROLL_THIS_KEY_IN_MOKMANAGER.cer를 선택하고 인증서 등록을 확인합니다.
Secure Boot가 없는 컴퓨터는 수동 개입 없이 GRUB으로 부팅됩니다.
이 디스크는 Secure Boot에서 작동하나요?
예, 작동합니다. MokManager 소프트웨어를 사용하여 첫 부팅 시 수동으로 키를 등록한 후, 서명되지 않았거나 신뢰할 수 없는 Linux 커널, .efi 파일 또는 드라이브를 로드합니다. 첫 부팅 키 등록을 위해 Secure Boot를 비활성화할 필요가 없습니다.
이 디스크는 Secure Boot가 없거나 비활성화된 UEFI 기반 컴퓨터에서 작동하나요?
예, 일반 GRUB2처럼 작동합니다.
이 디스크는 BIOS를 사용하는 구형 컴퓨터에서 작동하나요?
예, 다른 GRUB2 부트로더와 동일하게 작동합니다.
이 디스크를 UEFI 부트킷/바이러스에서 Secure Boot를 우회하는 데 사용할 수 있나요?
아니요, 그렇지 않습니다. 이 디스크는 첫 부팅 시 실제 사용자의 수동 개입이 필요하므로 부트킷의 은밀성을 무효화합니다.
GRUB를 다른 EFI 부트로더(rEFInd, syslinux, systemd-boot)로 교체할 수 있나요?
예, grubx64_real.efi/grubia32_real.efi를 원하는 파일로 교체하세요. 부트로더는 서명될 필요가 없으며, 디스크에 포함된 GRUB2와 마찬가지로 grubx64.efi/grubia32.efi(PreLoader)가 설치한 보안 정책 덕분에 모든 .efi 파일을 시작할 수 있습니다.
이 디스크의 UEFI 부팅 프로세스는 3단계로 수행됩니다.
bootx64.efi (shim) → grubx64.efi (preloader) → grubx64_real.efi (grub2) → EFI file/OS
1단계: 마더보드가 shim을 로드합니다. shim은 단순히 다음 실행 파일(이 경우 grubx64.efi(preloader))을 로드하는 특수 로더입니다. shim은 Microsoft 키로 서명되어 있어 모든 일반 PC 마더보드에서 Secure Boot 모드로 실행될 수 있습니다.
shim에는 Fedora 인증서가 포함되어 있습니다(Fedora 저장소에서 추출되었기 때문). Secure Boot가 활성화된 경우, grubx64.efi가 포함된 Fedora 인증서로 서명되지 않았으므로 shim은 다른 실행 파일인 MokManager.efi를 부팅합니다. 이는 shim 키 관리 소프트웨어입니다. MokManager는 사용자에게 키 또는 해시 등록 프로세스를 진행하도록 요청합니다.
최신 버전의 shim은 "비참여 부트로더에 대한 강화"를 위해 UEFI LoadImage, StartImage, ExitBootServices 및 Exit 함수에 후크를 설치하며, 이는 이 디스크 사용 사례에서 우회되어야 합니다. Fedora의 shim은 사용자 정의 UEFI 보안 정책을 설치하지 않으므로, MokManager를 사용하여 해시나 인증서를 추가하더라도 2단계 부트로더에서 자체 서명된 efi 파일을 로드할 수 없습니다.
2단계: preloader는 shim과 유사한 소프트웨어입니다. 또한 실행 파일 유효성 검사를 수행하고 다음 efi 파일을 로드합니다. 이 디스크에 포함된 preloader는 단 하나의 기능만 수행하는 축소 버전입니다: 모든 허용 UEFI 보안 정책을 설치합니다. 이를 통해 GRUB 외부(예: UEFI 셸)에서도 LoadImage/StartImage UEFI 함수로 임의의 efi 실행 파일을 로드할 수 있으며, shim의 강화를 우회합니다.
3단계: GRUB2는 잘 알려진 범용 부트로더입니다. 추가 인증 없이 Linux 커널을 로드(linux/linuxefi 명령), .efi 바이너리를 메모리에 로드하고 엔트리 포인트로 점프(chainloader 명령)하도록 패치되었으며, shim에 대해 "참여 부트로더"로 위장합니다.
이 주제에 대한 제 기사를 읽어보세요: Exploiting signed bootloaders to circumvent UEFI Secure Boot (러시아어 버전도 있습니다)
Super UEFIinSecureBoot Disk GRUB2는 suisbd=1 변수를 설정합니다. 이는 여러 부트로더 간에 공유되는 grub.conf에서 디스크의 패치된 GRUB2를 감지하는 데 사용될 수 있습니다.
버전 3부터 GRUB는 내부 로더 구현에 일부 문제가 있어 기본 UEFI .efi 파일 로더를 사용합니다. 내부 로더를 사용하려면 GRUB 설정 파일에 set efi_internal_loader=1을 추가하세요. 두 방법 모두 신뢰할 수 없는 .efi 파일을 로드할 수 있습니다.
