超级UEFI安全启动盘

Super UEFIinSecureBoot Disk 是一个_概念验证（未积极维护或增强）_的可启动映像，带有GRUB2引导加载程序，旨在用作恢复USB闪存盘的基础。

关键特性： 该磁盘在启用UEFI安全启动模式下完全可用。它可以启动任何操作系统或.efi文件，即使签名不受信任、无效或缺失。

特性：

• GRUB2 Bootloader
• 支持32位（ia32）/64位（x86_64）UEFI（+安全启动）
• 支持BIOS / UEFI CSM
• 启动任何操作系统
• 从GRUB2启动任何.efi可执行文件
• 从另一个.efi应用程序启动任何.efi可执行文件
• 加载任何UEFI驱动程序

基于：

• Red Hat shim（v15-8），来自Fedora，已使用Microsoft密钥签名，用于初始启动
• 修改版 Linux Foundation PreLoader，用于安装绕过UEFI安全策略的组件
• 带有安全绕过补丁的GRUB2，用于chainloader、linux/linuxefi和shim

描述

安全启动是UEFI固件的一项功能，旨在通过阻止加载未使用可接受数字签名签名的驱动程序或操作系统加载程序来保护启动过程。

大多数现代计算机默认启用安全启动，这是Windows 10认证过程的要求。虽然在所有典型主板上的UEFI设置菜单中都可以禁用它，但有时不容易做到，例如由于公司笔记本电脑的UEFI设置密码用户不知道。

此磁盘安装到USB闪存盘并从中启动后，会有效禁用安全启动保护功能，并临时允许对PC执行几乎所有操作，就像安全启动被禁用一样。这对于数据恢复、重新安装操作系统或只是从USB启动而无需考虑额外步骤非常有用。

安装

从发布页面下载映像文件，使用以下程序之一写入USB闪存盘：

• Rosa ImageWriter（适用于Windows和Linux）
• Etcher（适用于Windows、Linux和macOS）

警告：您USB闪存盘上的所有数据将被删除。

映像包含一个FAT32 500MiB分区。使用gparted或类似工具调整其大小以获取完整的USB驱动器空间。

使用

在启用了安全启动的PC上首次启动将显示访问冲突消息框。按“确定”，然后选择“从文件注册证书”菜单选项。选择ENROLL_THIS_KEY_IN_MOKMANAGER.cer并确认证书注册。

没有安全启动的计算机会自动启动到GRUB，无需手动干预。

常见问题

• 这个磁盘在安全启动下工作吗？
  是的，它可以。在首次启动时使用MokManager软件手动注册密钥后，它可以加载任何未签名或不受信任的Linux内核、.efi文件或驱动程序。您无需禁用安全启动即可执行首次启动的密钥注册。

• 这个磁盘在没有安全启动的UEFI计算机或禁用安全启动的计算机上工作吗？
  是的，它就像标准的GRUB2一样工作。

• 这个磁盘在较旧的BIOS计算机上工作吗？
  是的，它就像任何其他GRUB2引导加载程序一样工作。

• 这个磁盘能用于绕过UEFI引导套件/病毒中的安全启动吗？
  不，不能。此磁盘需要在首次启动时由物理用户手动干预，这消除了引导套件隐蔽的目的。

• 我可以将GRUB替换为另一个EFI引导加载程序（rEFInd、syslinux、systemd-boot）吗？
  是的，将grubx64_real.efi/grubia32_real.efi替换为您的文件。引导加载程序不需要签名，并且由于grubx64.efi/grubia32.efi（PreLoader）安装的安全策略，它也应该能够启动任何.efi文件，就像磁盘中包含的GRUB2一样。

技术信息

此磁盘的UEFI启动过程分为3个阶段。

bootx64.efi (shim) → grubx64.efi (preloader) → grubx64_real.efi (grub2) → EFI file/OS

阶段1：主板加载shim。Shim是一个特殊加载器，仅加载下一个可执行文件，在我们的例子中是grubx64.efi（预加载器）。Shim使用Microsoft密钥签名，这使得它可以在所有标准PC主板上以安全启动模式启动。Shim包含嵌入的Fedora证书（因为它是从Fedora仓库提取的）。如果启用了安全启动，由于grubx64.efi未使用嵌入的Fedora证书签名，shim会启动另一个可执行文件MokManager.efi，这是一个特殊的shim密钥管理软件。MokManager要求用户继续密钥或哈希注册过程。较新版本的shim为UEFI LoadImage、StartImage、ExitBootServices和Exit函数安装钩子，以“强化针对不参与的引导加载程序”，对于此磁盘的用例，应绕过这些钩子。Fedora的shim不会安装自定义UEFI安全策略，这就是为什么即使您使用MokManager添加了自签名efi文件的哈希或证书，也无法从第二阶段引导加载程序加载它们。

阶段2：预加载器是一个类似于shim的软件。它也执行可执行文件验证并加载下一个efi文件。此磁盘中包含的预加载器是一个精简版本，仅执行一项功能：安装允许所有UEFI安全策略。这允许在GRUB之外（例如在UEFI Shell中）使用LoadImage/StartImage UEFI函数加载任意efi可执行文件，并绕过shim的强化。

阶段3：GRUB2是著名的通用引导加载程序。它已被修补，以加载Linux内核而无需额外验证（linux/linuxefi命令），将.efi二进制文件加载到内存并跳转到其入口点（chainloader命令），并模仿“参与引导加载程序”以欺骗shim。

附加信息

阅读我关于此主题的文章：利用已签名的引导加载程序绕过UEFI安全启动（也提供俄语版本）

备注

Super UEFIinSecureBoot Disk GRUB2设置变量suisbd=1。它可用于在多个引导加载程序共享的grub.conf中检测磁盘的修补版GRUB2。

从版本3开始，GRUB使用原始的UEFI .efi文件加载器，因为内部加载器实现存在一些问题。要使用内部加载器，请在GRUB配置文件中添加set efi_internal_loader=1。两种方法都可以加载不受信任的.efi文件。