Secure Boot в Arch Linux: включаем для UKI без замены заводских ключей

Вот важная новость с фронта ИИ: pluviusAestivus 52 минуты назад Краткое содержание статьи Secure Boot в Arch Linux: включаем для UKI без замены заводских ключей Средний 4 мин 1. 9K Linux * Настройка Linux * Информационная безопасность * Кейс Arch Linux, в отличие от многих дистрибутивов, не настраивает Secure Boot по умолчанию. Для установки он требует его отключить (хотя можно и подписать образ).

Затем, если же мы все же хотим включить у себя эту меру защиты, на вики есть разные способы это сделать. Secure Boot можно настроить:Используя sbctl, заменив все заводские ключи UEFI на своиЧерез shimДобавив ключ через интерфейс UEFIНа вики много материала по Secure Boot на все случаи жизни, и новичку в нем легко заблудиться. В этой статье я, новичок-арчевод, рассказываю, как настроил у себя Secure Boot через добавление ключа через интерфейс UEFI, в виде пошагового руководства.

Технические детали

Эта статья не ставит целью сделать абсолютно железный непробиваемый Secure Boot, а скорее рассказывает, как простым способом на Arch Linux включить базовую защиту загрузочного образа, соизмеримую с тем, что есть по умолчанию на Windows. Почему не sbctl enroll-keys и не shimЯ бы сказал, в моем случае причины и там и там идеологические:shim завязан на сертификаты Microsoft. А мне не хочется привязывать Linux к сертификату Microsoft, если можно этого не делатьsbctl enroll-keys -m, как другая крайность, предлагает поменять всю цепочку ключей PK -> KEK -> DB на свою, заменив заводской ключ и переставив сертификаты microsoft с нуля.

С одной стороны, своя цепочка увеличивает безопасность. Но, с другой - это способ более рискованный: на вики статья пестрит предупреждениями в красных рамках о том, что может сломаться. Помимо всего, на мой взгляд, он нарушает принцип разделения ответственности: не должна утилита Linux отвечать за добавление сертификатов винды.

Даже флаг -firmware-builtin не говорит "не трогать": он говорит "переписать, включив дефолтные ключи". Я бы предпочел, чтобы каждая система сама отвечала за себя. Так, я решил полагаться на принцип минимального вмешательства: добавить только то, что нужно, и не трогать то, что уже работает.

Отраслевые последствия

То есть, просто добавить новый ключ Arch Linux в существующий набор ключей. Шаги описаны для моей материнской платы ASUS Prime 790-P. Большинство современных материнских плат имеют похожий функционал UEFI и настроек ключей.

Если на вашей материнской плате такого функционала нет - увы, этот способ настройки вам не подойдет. Делаем бэкап ключейПеред любым ответственным действием мы делаем бэкап. Для этого нам потребуется флешка с файловой системой FAT.

Мы:Подключаем флешкуЗаходим в настройки UEFI BIOS, находим раздел про Secure Boot, и выбираем пункт “Сохранить все ключи”Пункт меню UEFI для бэкапа ключейИз списка дисков выбираем флешку. Выглядит страшно, но это просто список дисков. Выбор флешки для бэкапаКлючи сохранены на флешку.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.