UEFI - проблемы и решения

[Olej]

И что интересно? ;)
Что всё, что относится к EFI - это давняя, сколько-то-там лет практика в Mac & Mac OS X, и там всё это EFI - давно и единственно применимый механизм и загрузки, и разбиения дисков GPT и т.д., то, что на сейчас только-только становится известным пользователям PC.

[cema]

Интересно, но к сожалению не хватает времени, а если появляется время, уже нет сил
Новостей по UEFI прибывает - Обзор отличий UEFI Secure Boot загрузчика Shim и решения от Linux Foundation

[tundra37]

Для статистики. У нас относительно свежие компы. Из них только на одном UEFI. Сегодня как раз загружался с флешки. Во всех остальных в меню загрузки по выбору UEFI отсутствует.
Обходится кстати просто : ставим диск меньше 2 Тб для системы. Если аппаратный raid еще проще. Там создают один диск для системы и остальное рабочее пространство с GPT таблицей.
Микрософт не спешит с поддержкой, а его еще очень много :) Кстати у него с Интелом есть просто EFI, которое вообще никто не признает, хотя полезная вещь - мини-система в БИОС.

[cema]

Есть такой ресурс Хабрахабр. Прочитал там статью http://habrahabr.ru/post/197138/ - как человек не смог установить Linux на планшет. Хотел там ему ответить, но у меня инвайта нет. Решил тут озвучить.
История у него там такая, его цитаты:

Недавно я купил Lenovo Thinkpad Tablet 2

Поставляется он с предустановленной 32 битной Windows 8.

Используемый в планшете Atom поддерживает только 32-битный защищённый режим
Используется UEFI, Secure Boot легко отключаем
Нет режима Legacy boot

Последнее обстоятельство являлось основной причиной моей неудачи, и вот почему:
Не существует ни одного инсталлятора Linux ни одного дистрибутива, который поддерживал бы установку в режиме UEFI на 32-битном процессоре.

Для 64-битных процессоров всё есть. Для 32-битных в режиме Legacy c последующим переключением в UEFI — есть. А вот сразу UEFI и только 32 бита — нет. Максимум, чего мне удалось добиться — это появления экрана GRUB с наполовину работающей клавиатурой, который при попытке загрузить Debian зависал сразу.

cdimage.debian.org/cdimage/unofficial/efi-development/upload5/ — тот самый образ, на котором я увидел Grub, и дальше дело не пошло.

И теперь мои пять копеек. А посмотреть в http://cdimage.debian.org/cdimage/unoff ... t/upload4/ и забрать оттуда образ http://cdimage.debian.org/cdimage/unoff ... -test4.iso ему образования не хватило?
К сожалению на хабре я этого запостить не смогу, меня туда не пускают

[cema]

Хорошая статья по теме http://habrahabr.ru/post/197438/

[Olej]

Неплохая статья про UEFI загрузку ... с картинками :

[Olej]

Очень внятное и полезное описание из комплекта ArchLinux Unified Extensible Firmware Interface (Русский) (правда там текст - это такая гремучая смесь русских и английских абзацев ).

P.S. Нужно отдать должное, в очередной раз, ArchLinux - документирование у них классное!

[Olej]

Утечка мастер-ключа Microsoft скомпрометировала защиту Secure Boot

11.08.2016 19:22

Группа анонимных исследователей опубликовала сведения об универсальном ключе, позволяющем разблокировать любое устройство, защищённое при помощи технологии Secure Boot и использующее загрузчик Microsoft. В том числе ключ позволяет снять блокировку с любых планшетов и смартфонов, поставляемых с ОС Windows.

Интересно, что ключ был найден в составе отладочного инструментария, который был забыт на одном из устройств. Изучение инструментария показало, что входящий в его состав ключ позволяет обойти верификацию Secure Boot на уровне загрузчика Windows. Важно подчеркнуть, что это не PKI-ключ, применяемый для формирования цифровых подписей к исполняемым файлам, а ключ для отключения проверки в загрузчике, не влияющий на надёжность работы прошивок UEFI. Для пользователей подобная возможность позволяет отключить привязку к Windows и установить любую ОС на свой вкус, а для злоумышленников открывает двери для обхода системы верификации загружаемых компонентов и внедрения руткитов.
...
С учётом того, что опубликованный ключ не является штатным закрытым ключом, при помощи которого выполняется верификация, а просто позволяет обойти защиту, возникает вопрос о предназначении универсального ключа, который рассматривается как универсальный бэкдор. Судя по тому, что мастер-ключ был найден в составе отладочного инструментария, он применялся для тестирования новых сборок без верификации. При этом утечка мастер-ключа Microsoft является прекрасным уроком для спецслужб, показывающим порочность практики внедрения бэкдоров в криптосистемы. В отличие от традиционной практики генерации отладочных ключей, привязанных к конкретному устройству, в найденном ключе не был указан идентификатор устройства, что привело к возможности его применения для переопределения полного набора правил загрузчика для любых устройств.

В оригинале статьи (по ссылке) есть сам ключ .zip, который можете скачать.