مشکل گراب و بوت امن

[مجتبی باغبان]

وقتی بوت امن رو فعال می‌کنم دیگه گراب بالا نمیاد. آیا این مشکل قابل حل است یا نه؟

[🇬🇧بریتانیای کبیر🇬🇧]

فکر نکنم چون ویندوز فقط کلید های بوت امنو داره

[مجتبی باغبان]

آقای بهزادی توی یکی ار پست‌ها گفته بودن که بوت امن رو فعال کنید. گفتم شاید میشه گراب و بوت امن رو همزمان داشته باشیم.

[🇬🇧بریتانیای کبیر🇬🇧]

بوت امن چیز مزخرفیه. تهش طرف با ویندوزی که رو فلش نصب کرده به سیستمت وارد میشه. برای اینکه طرف نتونه به سیستمت با فلش بوتیل واردشه رو بوتش رمز بذار.

[دانیال بهزادی]

وقتی بوت امن رو فعال مي‌کنید، منطقاً نباید کسی بتونه جز با کرنل و ماژول‌هایی که خودتون امضاش کردید، رایانه رو راه‌اندازی کنه.

برای بالا نیومدن گراب در حالت بوت امن هم از تنظیمات UEFI کلیدهای بوت امن رو بازنشانی کرده و بعد از بالا اومدن رایانه، کلید خوتون که باهاش کرنل رو امضا کردید رو ثبت کنید.

[مجتبی باغبان]

وقتی بوت امن رو فعال مي‌کنید، منطقاً نباید کسی بتونه جز با کرنل و ماژول‌هایی که خودتون امضاش کردید، رایانه رو راه‌اندازی کنه.

برای بالا نیومدن گراب در حالت بوت امن هم از تنظیمات UEFI کلیدهای بوت امن رو بازنشانی کرده و بعد از بالا اومدن رایانه، کلید خوتون که باهاش کرنل رو امضا کردید رو ثبت کنید.

شما خودتون این مراحل رو رفتید؟
لینکی دارید که خوب توضیح داده باشه؟

[Dragon-]

چه توزیعی دارید؟

[مجتبی باغبان]

چه توزیعی دارید؟

مانجارو

[Dragon-]

خروجی این دستورات رو بذارید

کد: [انتخاب]

sudo efibootmgr -v
bootctl status
od -A n -t u1 /sys/firmware/efi/efivars/SecureBoot-*
sudo dmesg | grep -i secure


[مجتبی باغبان]

کد: [انتخاب]

sudo efibootmgr -v                                                                                                           ✔
BootCurrent: 0000
Timeout: 0 seconds
BootOrder: 0000,9999,0001,0002,0004
Boot0000* Manjaro       HD(7,GPT,c41cb02c-0adb-9e47-b7c0-dc8c9763e364,0x3b7b8800,0xfa800)/File(\EFI\Manjaro\grubx64.efi)
      dp: 04 01 2a 00 07 00 00 00 00 88 7b 3b 00 00 00 00 00 a8 0f 00 00 00 00 00 2c b0 1c c4 db 0a 47 9e b7 c0 dc 8c 97 63 e3 64 02 02 / 04 04 36 00 5c 00 45 00 46 00 49 00 5c 00 4d 00 61 00 6e 00 6a 00 61 00 72 00 6f 00 5c 00 67 00 72 00 75 00 62 00 78 00 36 00 34 00 2e 00 65 00 66 00 69 00 00 00 / 7f ff 04 00
Boot0001* Windows Boot Manager  HD(1,GPT,fc60bfe0-19e7-4ac8-b248-d92946c42650,0x800,0x82000)/File(\EFI\Microsoft\Boot\bootmgfw.efi)57494e444f5753000100000088000000780000004200430044004f0042004a004500430054003d007b00390064006500610038003600320063002d0035006300640064002d0034006500370030002d0061006300630031002d006600330032006200330034003400640034003700390035007d00000000000100000010000000040000007fff0400
      dp: 04 01 2a 00 01 00 00 00 00 08 00 00 00 00 00 00 00 20 08 00 00 00 00 00 e0 bf 60 fc e7 19 c8 4a b2 48 d9 29 46 c4 26 50 02 02 / 04 04 46 00 5c 00 45 00 46 00 49 00 5c 00 4d 00 69 00 63 00 72 00 6f 00 73 00 6f 00 66 00 74 00 5c 00 42 00 6f 00 6f 00 74 00 5c 00 62 00 6f 00 6f 00 74 00 6d 00 67 00 66 00 77 00 2e 00 65 00 66 00 69 00 00 00 / 7f ff 04 00
    data: 57 49 4e 44 4f 57 53 00 01 00 00 00 88 00 00 00 78 00 00 00 42 00 43 00 44 00 4f 00 42 00 4a 00 45 00 43 00 54 00 3d 00 7b 00 39 00 64 00 65 00 61 00 38 00 36 00 32 00 63 00 2d 00 35 00 63 00 64 00 64 00 2d 00 34 00 65 00 37 00 30 00 2d 00 61 00 63 00 63 00 31 00 2d 00 66 00 33 00 32 00 62 00 33 00 34 00 34 00 64 00 34 00 37 00 39 00 35 00 7d 00 00 00 00 00 01 00 00 00 10 00 00 00 04 00 00 00 7f ff 04 00
Boot0002* Solid State Disk      PciRoot(0x0)/Pci(0x6,0x0)/Pci(0x0,0x0)/NVMe(0x1,00-A0-75-01-3A-33-8A-D9)/HD(1,GPT,fc60bfe0-19e7-4ac8-b248-d92946c42650,0x800,0x82000)0000424f
      dp: 02 01 0c 00 d0 41 03 0a 00 00 00 00 / 01 01 06 00 00 06 / 01 01 06 00 00 00 / 03 17 10 00 01 00 00 00 00 a0 75 01 3a 33 8a d9 / 04 01 2a 00 01 00 00 00 00 08 00 00 00 00 00 00 00 20 08 00 00 00 00 00 e0 bf 60 fc e7 19 c8 4a b2 48 d9 29 46 c4 26 50 02 02 / 7f ff 04 00
    data: 00 00 42 4f
Boot0004* Solid State Disk      PciRoot(0x0)/Pci(0x6,0x0)/Pci(0x0,0x0)/NVMe(0x1,00-A0-75-01-3A-33-8A-D9)/HD(7,GPT,c41cb02c-0adb-9e47-b7c0-dc8c9763e364,0x3b7b8800,0xfa800)0000424f
      dp: 02 01 0c 00 d0 41 03 0a 00 00 00 00 / 01 01 06 00 00 06 / 01 01 06 00 00 00 / 03 17 10 00 01 00 00 00 00 a0 75 01 3a 33 8a d9 / 04 01 2a 00 07 00 00 00 00 88 7b 3b 00 00 00 00 00 a8 0f 00 00 00 00 00 2c b0 1c c4 db 0a 47 9e b7 c0 dc 8c 97 63 e3 64 02 02 / 7f ff 04 00
    data: 00 00 42 4f
Boot9999* USB Drive (UEFI)      PciRoot(0x0)/Pci(0x1d,0x0)/USB(16,0)0000424f
      dp: 02 01 0c 00 d0 41 03 0a 00 00 00 00 / 01 01 06 00 00 1d / 03 05 06 00 10 00 / 7f ff 04 00
    data: 00 00 42 4f


کد: [انتخاب]

sudo bootctl status                                                                                                                                                           ✔
systemd-boot not installed in ESP.
System:
      Firmware: n/a (n/a)
 Firmware Arch: x64
   Secure Boot: disabled (unknown)
  TPM2 Support: yes
  Boot into FW: supported

Current Boot Loader:
      Product: n/a
     Features: ✗ Boot counting
               ✗ Menu timeout control
               ✗ One-shot menu timeout control
               ✗ Default entry control
               ✗ One-shot entry control
               ✗ Support for XBOOTLDR partition
               ✗ Support for passing random seed to OS
               ✗ Load drop-in drivers
               ✗ Support Type #1 sort-key field
               ✗ Support @saved pseudo-entry
               ✗ Support Type #1 devicetree field
               ✗ Boot loader sets ESP information
          ESP: n/a
         File: └─n/a

Random Seed:
 Passed to OS: no
 System Token: not set
       Exists: no

Available Boot Loaders on ESP:
          ESP: /boot/efi (/dev/disk/by-partuuid/c41cb02c-0adb-9e47-b7c0-dc8c9763e364)
         File: └─/EFI/BOOT/bootx64.efi

Boot Loaders Listed in EFI Variables:
        Title: Manjaro
           ID: 0x0000
       Status: active, boot-order
    Partition: /dev/disk/by-partuuid/c41cb02c-0adb-9e47-b7c0-dc8c9763e364
         File: └─/EFI/Manjaro/grubx64.efi

        Title: Windows Boot Manager
           ID: 0x0001
       Status: active, boot-order
    Partition: /dev/disk/by-partuuid/fc60bfe0-19e7-4ac8-b248-d92946c42650
         File: └─/EFI/Microsoft/Boot/bootmgfw.efi

Boot Loader Entries:
        $BOOT: /boot/efi (/dev/disk/by-partuuid/c41cb02c-0adb-9e47-b7c0-dc8c9763e364)

0 entries, no entry could be determined as default.

کد: [انتخاب]

od -A n -t u1 /sys/firmware/efi/efivars/SecureBoot-*                                                                                                                  ✔  47s 
   6   0   0   0   0

کد: [انتخاب]

sudo dmesg | grep -i secure                                                                                                                                                   ✔
[    0.006642] Secure boot disabled
[    0.793925] integrity: Loaded X.509 cert 'HP Inc.: HP UEFI Secure Boot DB 2017: d9c01b50cfcae89d3b05345c163aa76e5dd589e7'


[Dragon-]

نمی‌دونم خود کرنل مانجارو به همراه ماژول‌هاش امضا داره یا نه.
بسته sbsigntools رو نصب کنید تا دستور sbverify رو داشته باشید. بعد خروجی این دستورات رو بذارید

کد: [انتخاب]

for f in /boot/vmlinuz*; do
sbverify --list "$f"
done
modinfo crc32


[مجتبی باغبان]

کد: [انتخاب]

for f in /boot/vmlinuz*; do
> sbverify --list "$f"
> done
No signature table present

کد: [انتخاب]

modinfo crc32
filename:       /lib/modules/6.1.20-1-MANJARO/kernel/arch/x86/crypto/crc32-pclmul.ko.zst
alias:          crypto-crc32-pclmul
alias:          crc32-pclmul
alias:          crypto-crc32
alias:          crc32
license:        GPL
author:         Alexander Boyko <alexander_boyko@xyratex.com>
srcversion:     21891D50DCAD55A39B41380
alias:          cpu:type:x86,ven*fam*mod*:feature:*0081*
depends:       
retpoline:      Y
intree:         Y
name:           crc32_pclmul
vermagic:       6.1.20-1-MANJARO SMP preempt mod_unload
sig_id:         PKCS#7
signer:         Build time autogenerated kernel key
sig_key:        4C:11:24:AC:DB:84:43:78:68:92:6F:70:29:63:04:23:7B:80:C4:26
sig_hashalgo:   sha512
signature:      30:65:02:30:18:01:E3:58:64:E3:47:42:AD:50:63:A2:45:F3:BC:F3:
                EC:EC:C2:69:83:C6:81:85:6F:6A:D2:F3:75:84:A0:5B:AE:9F:24:C1:
                25:55:73:D3:B8:8A:7A:D2:99:58:D2:2E:02:31:00:A1:61:4C:B5:1A:
                49:DD:FE:D4:71:68:0D:6B:38:09:DC:87:14:0B:6E:0B:0F:0D:E3:85:
                12:35:BD:4B:87:C5:C9:BE:3C:A7:8A:D3:3D:89:C6:58:73:63:79:EE:
                ED:43:24
filename:       /lib/modules/6.1.20-1-MANJARO/kernel/crypto/crc32_generic.ko.zst
alias:          crypto-crc32-generic
alias:          crc32-generic
alias:          crypto-crc32
alias:          crc32
license:        GPL
description:    CRC32 calculations wrapper for lib/crc32
author:         Alexander Boyko <alexander_boyko@xyratex.com>
srcversion:     F08036C38DDB06BCD1E6091
depends:       
retpoline:      Y
intree:         Y
name:           crc32_generic
vermagic:       6.1.20-1-MANJARO SMP preempt mod_unload
sig_id:         PKCS#7
signer:         Build time autogenerated kernel key
sig_key:        4C:11:24:AC:DB:84:43:78:68:92:6F:70:29:63:04:23:7B:80:C4:26
sig_hashalgo:   sha512
signature:      30:65:02:30:72:87:79:2C:D6:88:47:3F:16:17:00:08:8A:4E:B0:F7:
                07:6D:E0:BE:6B:8B:59:F6:0F:4D:79:93:04:B9:A0:93:30:5D:92:34:
                79:D1:F8:5D:4C:B9:1D:81:CC:42:91:DC:02:31:00:EF:0A:D6:FE:61:
                9D:52:D0:57:F5:4D:B2:02:7E:8D:64:CE:0C:23:AF:F6:CE:82:DF:EE:
                CB:3F:00:B8:10:A6:00:2D:68:07:91:39:24:98:5B:EB:F9:8B:47:9C:
                D2:7C:73


[Dragon-]

بوت امن کلا توی uefi خاموش هست. از خروجی od مشخصه.

ماژول‌های کرنل امضای دیجیتال دارن. در نتیجه لازم نیست به طور دستی اونها رو امضا کنید.
ولی خود کرنل امضایی نداره. به خاطر همین باید اون رو دستی امضا کنید. یه سری کار‌های دیگه هم هست که باید انجام بدید تا توزیع بتونه درست با بوت امن بالا بیاد.

اگه قصد ندارید کلید‌های مایکروسافت رو از بوت امن بردارید، به نظرم راحت‌ترین گزینه اینه که از shim signed استفاده کنید.

فکر کنم شما ماژول i915 رو جدا کامپایل می‌کنید. در اینصورت لازمه اون رو هم امضا کنید.

اول بسته‌های openssl sbsigntools و shim-signed رو نصب کنید.
بسته sbsigntools رو که قبلا نصب کردید. openssl هم باید به طور پیش‌فرض نصب صده باشه. بسته shim-signed توی AUR  هست.
یه برنامه کوچک به اسم sign-file نیاز دارید تا باهاش ماژول i915 رو امضا کنید. این برنامه معمولا همراه header‌های کرنل هست.
با توجه به اینکه بسته linux رو نصب کردید، الان بسته linux-headers رو هم نصب کنید تا header‌های متناظر و همینطور sign-file رو داشته باشید.

[مجتبی باغبان]

بعضی از بسته‌هایی که گفتین رو داشتم اون‌هایی هم که نداشتم رو نصب کردم.
البته من وقتی بوت امن رو فعال می‌کنم اصلا خود گراب هم بالا نمیاد.