Этот репозиторий предназначен для рассмотрения запросов на подписание shim. Чтобы создать запрос на рассмотрение:

клонируйте этот репозиторий (желательно сделайте форк)
отредактируйте шаблон ниже
добавьте shim.efi для подписания
добавьте журналы сборки
добавьте любые дополнительные двоичные файлы/сертификаты/SHA256-хэши, которые могут потребоваться
закоммитьте всё это
добавьте тег вида "myorg-shim-arch-YYYYMMDD"
отправьте в GitHub
создайте issue на https://github.com/rhboot/shim-review/issues со ссылкой на ваш тег
одобрение готово, когда к вашему issue будет добавлена метка "accepted"

Обратите внимание, что у нас есть опыт работы только с GRUB2 или systemd-boot в Linux, так что убедить нас одобрить что-либо ещё для подписания потребует от вас убедительных аргументов.

С 20 октября 2025 года shim-файлы, отправляемые в Microsoft, будут подписываться ключами 2011 и 2023 годов. За каждый отправленный shim вы получите обратно две копии, каждая подписанная разным ключом. Вот последняя информация от Microsoft: https://techcommunity.microsoft.com/blog/hardware-dev-center/signing-with-the-new-2023-microsoft-uefi-certificates-what-submitters-need-to-kn/4455787

Новые требования к подписанию также вступили в силу и доступны здесь: https://techcommunity.microsoft.com/blog/hardware-dev-center/updated-microsoft-uefi-signing-requirements/1062916 Обратите внимание, что прохождение этого рассмотрения shim освобождает вас от ежегодных аудитов безопасности, если ваш shim передаёт управление только загрузчикам с открытым исходным кодом.

Подсказка: загляните в каталог docs в этом репозитории, чтобы узнать, как подать заявку и подписать ваш shim.

Вот шаблон:

Какая организация или какие люди запрашивают подписание?

Название организации и веб-сайт:
[ваш текст здесь]

Какие юридические данные подтверждают подлинность организации?

******************************************************************************* ### Для какого продукта или услуги это предназначено? ******************************************************************************* [ваш текст здесь] ******************************************************************************* ### Каково обоснование того, что это действительно должно быть подписано, чтобы весь мир мог загрузить его? ******************************************************************************* [ваш текст здесь] ******************************************************************************* ### Почему вы не можете использовать shim из другого дистрибутива, который уже подписан? ******************************************************************************* [ваш текст здесь] ******************************************************************************* ### Кто является основным контактным лицом для обновлений безопасности и т. д.? Контакты службы безопасности должны быть проверены до того, как shim будет принят. При последующих запросах проверка контактов необходима только в том случае, если контакты службы безопасности или их PGP-ключи изменились с момента последней успешной проверки. Уполномоченный рецензент начнёт проверку контактов, отправив каждому контакту службы безопасности PGP-зашифрованное письмо, содержащее случайные слова. Вас попросят опубликовать содержимое этих писем в вашем issue `shim-review`, чтобы подтвердить владение адресами электронной почты и PGP-ключами. Загрузите PGP-ключи на известный сервер ключей, например keyserver.ubuntu.com, и/или включите их в рецензию в виде .asc-файла, и укажите на них здесь. ******************************************************************************* - Имя: - Должность: - Адрес электронной почты: - Отпечаток PGP-ключа: - Расположение файла/сервера ключей: ******************************************************************************* ### Кто является дополнительным контактным лицом для обновлений безопасности и т. д.? ******************************************************************************* - Имя: - Должность: - Адрес электронной почты: - Отпечаток PGP-ключа: - Расположение файла/сервера ключей: ******************************************************************************* ### Были ли эти двоичные файлы созданы из tar-архива релиза shim 16.1? Пожалуйста, создавайте свои двоичные файлы shim, начиная с tar-файла релиза shim 16.1: https://github.com/rhboot/shim/releases/download/16.1/shim-16.1.tar.bz2 Это соответствует https://github.com/rhboot/shim/releases/tag/16.1 и содержит соответствующий исходный код gnu-efi. Убедитесь, что tar-архив корректен, проверив контрольную сумму вашей загрузки (SHA256, SHA512) со следующими:``` 46319cd228d8f2c06c744241c0f342412329a7c630436fce7f82cf6936b1d603 shim-16.1.tar.bz2 ca5f80e82f3b80b622028f03ef23105c98ee1b6a25f52a59c823080a3202dd4b9962266489296e99f955eb92e36ce13e0b1d57f688350006bba45f2718f159fb shim-16.1.tar.bz2

shim-review

Популярное

URL репозитория, содержащего точный код, который был собран для получения вашего бинарного файла:

Какие патчи применяются и почему:

Установлен ли бит NX в вашем shim? Если да, то является ли весь ваш загрузочный стек NX-совместимым и какое тестирование вы провели для обеспечения такой совместимости?

Какую именно реализацию Secure Boot в GRUB2 вы используете? (Либо вышестоящий (upstream) верификатор shim_lock GRUB2, либо нижестоящая (downstream) реализация, подобная RHEL/Fedora/Debian/Canonical)

Применены ли исправления для всех следующих CVE в GRUB2?

Если shim загружает загрузчик GRUB2, и если эти исправления были применены, установлено ли глобальное поколение SBAT из upstream в вашем бинарном файле GRUB2 равным 5?

Были ли хэши старых shim предоставлены Microsoft для проверки и добавления в будущие обновления DBX?

Запрещает ли ваша новая цепочка доверия загрузку старых сборок GRUB2, затронутых указанными CVE?

Если ваша цепочка доверия загрузки включает ядро Linux:

Применён ли вышестоящий коммит 1957a85b0032a81e6482ca4aab883643b8dae06e "efi: Restrict efivar_ssdt_load when the kernel is locked down"?

Применён ли вышестоящий коммит 75b0cea7bf307f362057cc778efe89af4c615354 "ACPI: configfs: Disallow loading ACPI tables when locked down"?

Применён ли вышестоящий коммит eadb2f47a3ced5c64b23b90fd2a3463f63726066 "lockdown: also lock down previous kgdb use"?

Как ваше подписанное ядро обеспечивает lockdown, когда ваша система работает с включённым Secure Boot?

Собираете ли вы своё подписанное ядро с дополнительными локальными патчами? Что они делают?

Используете ли вы эфемерный ключ для подписи модулей ядра?

Если нет, опишите, как вы обеспечиваете, чтобы одна сборка ядра не загружала модули, собранные для другого ядра.

Если вы используете функциональность vendor_db для предоставления нескольких сертификатов и/или хэшей, кратко опишите вашу настройку сертификатов.

Является ли Dockerfile в вашем репозитории рецептом для воспроизведения сборки вашего shim-бинарного файла?

Какие файлы в этом репозитории являются журналами вашей сборки?

Какие изменения были внесены в цепочку безопасной загрузки дистрибутива с момента последнего подписания вашего SHIM?

Каков SHA256-хэш вашего окончательного shim-бинарного файла?

Как вы управляете ключами, используемыми в вашем shim, и защищаете их?

Используете ли вы EV-сертификаты в качестве встроенных сертификатов в shim?

Встраиваете ли вы сертификат CA в свой shim?

Предоставьте точные записи SBAT для всех бинарных файлов, которые вы загружаете напрямую через shim.

Если shim загружает загрузчик GRUB2, какие модули встроены в ваш подписанный образ GRUB2?

Если вы используете systemd-boot на arm64 или riscv, включено ли исправление для непроверенной загрузки Devicetree Blob?

Каково происхождение и полный номер версии вашего загрузчика (GRUB2, systemd-boot или другого)?

Если ваш shim запускает какие-либо другие компоненты, помимо вашего загрузчика, предоставьте дополнительные сведения о том, что запускается.

Как запускаемые компоненты предотвращают выполнение неаутентифицированного кода?

Загружает ли ваш shim какие-либо загрузчики, поддерживающие загрузку неподписанных ядер (например, некоторые конфигурации GRUB2)?

Какое ядро вы используете? Какие патчи и конфигурация включены в него для обеспечения Secure Boot?

Какой вклад вы внесли, чтобы помочь нам проверять заявки других кандидатов?

Добавьте любую дополнительную информацию, которая, по вашему мнению, может понадобиться для проверки этой заявки на подписание shim.