Secure Boot/ru - Revision history

Quriosity0 at 19:52, 20 July 2026

2026-07-20T19:52:30Z

← Older revision		Revision as of 19:52, 20 July 2026
Line 28:		Line 28:
	В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.		В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.

	Чтобы безопасная загрузка ~~достигла максимальной эффективности~~, должны быть соблюдены определённые условия. Самими важными являются:		Чтобы безопасная загрузка была максимально эффективна, должны быть соблюдены определённые условия. Самими важными являются:

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">

Quriosity0: forgot the dot

2026-07-20T19:46:44Z

forgot the dot

← Older revision		Revision as of 19:46, 20 July 2026
Line 22:		Line 22:
	...		...
	</syntaxhighlight>		</syntaxhighlight>
	В продемонстрированной выше системе включена и используется безопасная загрузка. Другие значения включают <code>disabled (setup)</code> для режима настройки, <code>disabled (disabled)</code> или <code>disabled (unsupported)</code>. Тэг unsupported появляется только если ваша материнская плата или её программное обеспечение не поддерживает безопасную загрузку		В продемонстрированной выше системе включена и используется безопасная загрузка. Другие значения включают <code>disabled (setup)</code> для режима настройки, <code>disabled (disabled)</code> или <code>disabled (unsupported)</code>. Тэг unsupported появляется только если ваша материнская плата или её программное обеспечение не поддерживает безопасную загрузку.
	Если вы видите <code>disabled (disabled)</code>, это значит, что вам нужно включить безопасную загрузку в настройках UEFI перед тем как продолжить, чтобы использовать один из описанных ниже проектов		Если вы видите <code>disabled (disabled)</code>, это значит, что вам нужно включить безопасную загрузку в настройках UEFI перед тем как продолжить, чтобы использовать один из описанных ниже проектов

Line 28:		Line 28:
	В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.		В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.

	~~<div lang="en" dir="ltr" class="mw-content-ltr">~~		Чтобы безопасная загрузка достигла максимальной эффективности, должны быть соблюдены определённые условия. Самими важными являются:
	~~For Secure Boot to be most effective~~, ~~there are certain conditions which should also be met~~. ~~The most important are~~:
	~~</div>~~

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">

Quriosity0 at 19:26, 20 July 2026

2026-07-20T19:26:55Z

← Older revision		Revision as of 19:26, 20 July 2026
Line 9:		Line 9:
	</div>		</div>

	~~<div lang="en" dir="ltr" class="mw-content-ltr">~~		== Проверка состояния безопасной загрузки ==
	== ~~Checking Secure Boot status~~ ==		самый лёгкий способ проверить, включена ли безопасная загрузка на вашем компьютере - использовать <code>bootctl</code> от [[Systemd]]. Необязательно использовать [[Systemd/boot\|systemd-boot]] как ваш основной загрузчик, чтобы эта команда работала.
	~~The easiest way to check if your machine has Secure Boot enabled is through the use of [[Systemd]]'s~~ <code>bootctl</code>. ~~There is no need to be using~~ [[Systemd/boot\|systemd-boot]] ~~as your bootloader for this command to work~~. <syntaxhighlight lang="console">		<syntaxhighlight lang="console">
	$ bootctl status		$ bootctl status
	System:		System:
Line 21:		Line 21:
	Boot into FW: supported		Boot into FW: supported
	...		...
	</syntaxhighlight>~~The system above has secure boot enabled and enforced~~. ~~Other values include~~ <code>disabled (setup)</code> ~~for Setup Mode~~, <code>disabled (disabled)</code> or <code>disabled (unsupported)</code>. ~~The~~ unsupported ~~tag only appears if your device firmware does not support Secure Boot at all.~~		</syntaxhighlight>
	~~If you see~~ <code>disabled (disabled)</code>, ~~this means you will need to enable Secure Boot in your~~ UEFI ~~firmware settings before proceeding to use one of the projects outlined below.~~		В продемонстрированной выше системе включена и используется безопасная загрузка. Другие значения включают <code>disabled (setup)</code> для режима настройки, <code>disabled (disabled)</code> или <code>disabled (unsupported)</code>. Тэг unsupported появляется только если ваша материнская плата или её программное обеспечение не поддерживает безопасную загрузку
	~~</div>~~		Если вы видите <code>disabled (disabled)</code>, это значит, что вам нужно включить безопасную загрузку в настройках UEFI перед тем как продолжить, чтобы использовать один из описанных ниже проектов

	~~<div lang~~=~~"en" dir~~=~~"ltr" class="mw-content-ltr">~~		== Включение безопасной загрузки на NixOS ==
	~~== Enabling Secure Boot on~~ NixOS ==		В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.
	On NixOS~~, there are currently two main ways to enable Secure Boot~~, [[Lanzaboote]] ~~and~~ [[Limine]]. ~~See their respective wiki pages for step by step instructions on each~~.
	~~</div>~~

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">

FuzzyBot: Updating to match new version of source page

2025-12-09T23:16:48Z

Updating to match new version of source page

@@ Line 3: / Line 3: @@
 Secure Boot имеет несколько реализаций, наиболее известная - UEFI Secure Boot, которая опирается на прошивку платформы UEFI, но во встраиваемых системах могут существовать и другие реализации.
 <div lang="en" dir="ltr" class="mw-content-ltr">
@@ Line 28: / Line 22: @@
 ...
 </syntaxhighlight>The system above has secure boot enabled and enforced. Other values include <code>disabled (setup)</code> for Setup Mode, <code>disabled (disabled)</code> or <code>disabled (unsupported)</code>. The unsupported tag only appears if your device firmware does not support Secure Boot at all.
-If you see <code>disabled (disabled)</code>, this means you will need to enable Secure Boot in your UEFI firmware settings before proceeding to use one of the projects outlined here.
+If you see <code>disabled (disabled)</code>, this means you will need to enable Secure Boot in your UEFI firmware settings before proceeding to use one of the projects outlined below.
 </div>

FuzzyBot: Updating to match new version of source page

2025-12-09T22:22:43Z

Updating to match new version of source page

← Older revision		Revision as of 22:22, 9 December 2025
Line 9:		Line 9:

	Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.		Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.

			<div lang="en" dir="ltr" class="mw-content-ltr">
			[[Category:Security]]
			[[Category:Booting]]
			</div>

			<div lang="en" dir="ltr" class="mw-content-ltr">
			== Checking Secure Boot status ==
			The easiest way to check if your machine has Secure Boot enabled is through the use of [[Systemd]]'s <code>bootctl</code>. There is no need to be using [[Systemd/boot\|systemd-boot]] as your bootloader for this command to work. <syntaxhighlight lang="console">
			$ bootctl status
			System:
			Firmware: UEFI 2.80 (American Megatrends 5.25)
			Firmware Arch: x64
			Secure Boot: enabled (user)
			TPM2 Support: yes
			Measured UKI: yes
			Boot into FW: supported
			...
			</syntaxhighlight>The system above has secure boot enabled and enforced. Other values include <code>disabled (setup)</code> for Setup Mode, <code>disabled (disabled)</code> or <code>disabled (unsupported)</code>. The unsupported tag only appears if your device firmware does not support Secure Boot at all.
			If you see <code>disabled (disabled)</code>, this means you will need to enable Secure Boot in your UEFI firmware settings before proceeding to use one of the projects outlined here.
			</div>

FuzzyBot: Updating to match new version of source page

2025-12-08T23:20:47Z

Updating to match new version of source page

← Older revision		Revision as of 23:20, 8 December 2025
Line 9:		Line 9:

	Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.		Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.

	~~<div class="mw-translate-fuzzy">~~
	~~Lanzaboote состоит из двух компонентов:~~
	~~<code>lzbt</code> and <code>stub</code>.~~
	~~</div>~~

	~~<code>lzbt</code> - это программа командной строки, которая подписывает и устанавливает загрузочные файлы на ESP.~~

	<code>stub</code> - это UEFI-приложение, которое загружает ядро и initrd из ESP. Оно отличается от systemd-stub, смотрите ниже, чтобы увидеть точные различия.

	{{warning\|Lanzaboote все еще находится в разработке и требует некоторых предварительных условий и мер предосторожности. В настоящее время он доступен только для nixos-unstable. Для получения дополнительной информации, пожалуйста, обратитесь к репозиторию GitHub или руководству по Quick Start}}.

	~~<span id="Requirements"></span>~~
	~~<div class="mw-translate-fuzzy">~~
	~~== Требования ==~~
	~~</div>~~

	Для реализации Secure Boot в Lanzaboote требуется система, установленная в режиме UEFI с включенной загрузкой systemd-boot. Это можно проверить, выполнив команду <code>bootctl status</code>:

	~~<syntaxHighlight lang=console>~~
	~~$ bootctl status~~
	~~System:~~
	~~Firmware: UEFI 2.70 (Lenovo 0.4720)~~
	~~Secure Boot: disabled (disabled)~~
	~~TPM2 Support: yes~~
	~~Boot into FW: supported~~

	~~Current Boot Loader:~~
	~~Product: systemd-boot 251.7~~
	~~...~~
	~~</syntaxHighlight>~~



	~~<span id="Setup"></span>~~
	~~<div class="mw-translate-fuzzy">~~
	~~== Настройка ==~~
	~~</div>~~

	~~<div lang="en" dir="ltr" class="mw-content-ltr">~~
	~~Follow the instructions in the [https://github.com/nix-community/lanzaboote/blob/master/docs/QUICK_START.md Quick Start guide].~~
	~~</div>~~

	~~<div class="mw-translate-fuzzy">~~
	~~== Управление ключами ==~~
	На момент написания статьи Lanzaboote предлагает только локальное хранение связки ключей, иначе невозможно перестроить систему и подписать новые результирующие файлы.
	~~</div>~~

	В будущем Lanzaboote предложит два новых варианта подписи: удаленная подпись (HTTP-сервер, который получает запросы на подпись и отвечает подписями) и подпись на основе PKCS#11 (то есть с использованием HSM-подобного устройства, например, YubiKey, NitroKey и т.д.).

	{{Warning\|Управление ключами - сложная проблема, которая выходит за рамки проекта Lanzaboote, существует множество решений, но не существует единого идеального. Потратьте время на то, чтобы научиться управлять ключами и определить правильный уровень защиты от угроз - это очень важно для эффективной защиты загрузки}}.

	~~<div class="mw-translate-fuzzy">~~
	~~== Различия с `systemd-stub` ==~~
	У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.
	~~</div>~~

	При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности.

	~~<div lang="en" dir="ltr" class="mw-content-ltr">~~
	~~Tracking the feature parity with `systemd-stub` can be done in this issue: https://github.com/nix-community/lanzaboote/issues/94.~~
	~~[[Category:Security]]~~
	~~[[Category:Booting]]~~
	~~</div>~~

FuzzyBot: Updating to match new version of source page

2025-10-07T20:55:16Z

Updating to match new version of source page

← Older revision		Revision as of 20:55, 7 October 2025
Line 4:		Line 4:
	Secure Boot имеет несколько реализаций, наиболее известная - UEFI Secure Boot, которая опирается на прошивку платформы UEFI, но во встраиваемых системах могут существовать и другие реализации.		Secure Boot имеет несколько реализаций, наиболее известная - UEFI Secure Boot, которая опирается на прошивку платформы UEFI, но во встраиваемых системах могут существовать и другие реализации.

	На NixOS, Secure Boot может быть включён с помощью проекта [Lanzaboote].		<div class="mw-translate-fuzzy">
			На NixOS, Secure Boot может быть включён с помощью проекта [Lanzaboote].
			</div>

			Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.

			<div class="mw-translate-fuzzy">
	Lanzaboote состоит из двух компонентов:		Lanzaboote состоит из двух компонентов:
	<code>lzbt</code> and <code>stub</code>.		<code>lzbt</code> and <code>stub</code>.
			</div>

	<code>lzbt</code> - это программа командной строки, которая подписывает и устанавливает загрузочные файлы на ESP.		<code>lzbt</code> - это программа командной строки, которая подписывает и устанавливает загрузочные файлы на ESP.
Line 16:		Line 22:

	<span id="Requirements"></span>		<span id="Requirements"></span>
			<div class="mw-translate-fuzzy">
	== Требования ==		== Требования ==
			</div>

	Для реализации Secure Boot в Lanzaboote требуется система, установленная в режиме UEFI с включенной загрузкой systemd-boot. Это можно проверить, выполнив команду <code>bootctl status</code>:		Для реализации Secure Boot в Lanzaboote требуется система, установленная в режиме UEFI с включенной загрузкой systemd-boot. Это можно проверить, выполнив команду <code>bootctl status</code>:
Line 33:		Line 41:
	</syntaxHighlight>		</syntaxHighlight>

	~~Рекомендуется включить пароль BIOS и полное шифрование диска, чтобы предотвратить атаки на UEFI и Secure Boot.~~

	<span id="Setup"></span>		<span id="Setup"></span>
			<div class="mw-translate-fuzzy">
	== Настройка ==		== Настройка ==
			</div>

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">
Line 42:		Line 52:
	</div>		</div>

			<div class="mw-translate-fuzzy">
	== Управление ключами ==		== Управление ключами ==
	На момент написания статьи Lanzaboote предлагает только локальное хранение связки ключей, иначе невозможно перестроить систему и подписать новые результирующие файлы.		На момент написания статьи Lanzaboote предлагает только локальное хранение связки ключей, иначе невозможно перестроить систему и подписать новые результирующие файлы.
			</div>

	В будущем Lanzaboote предложит два новых варианта подписи: удаленная подпись (HTTP-сервер, который получает запросы на подпись и отвечает подписями) и подпись на основе PKCS#11 (то есть с использованием HSM-подобного устройства, например, YubiKey, NitroKey и т.д.).		В будущем Lanzaboote предложит два новых варианта подписи: удаленная подпись (HTTP-сервер, который получает запросы на подпись и отвечает подписями) и подпись на основе PKCS#11 (то есть с использованием HSM-подобного устройства, например, YubiKey, NitroKey и т.д.).
Line 49:		Line 61:
	{{Warning\|Управление ключами - сложная проблема, которая выходит за рамки проекта Lanzaboote, существует множество решений, но не существует единого идеального. Потратьте время на то, чтобы научиться управлять ключами и определить правильный уровень защиты от угроз - это очень важно для эффективной защиты загрузки}}.		{{Warning\|Управление ключами - сложная проблема, которая выходит за рамки проекта Lanzaboote, существует множество решений, но не существует единого идеального. Потратьте время на то, чтобы научиться управлять ключами и определить правильный уровень защиты от угроз - это очень важно для эффективной защиты загрузки}}.

			<div class="mw-translate-fuzzy">
	== Различия с `systemd-stub` ==		== Различия с `systemd-stub` ==
	У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.		У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.
			</div>

	При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности.		При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности.

Unabomberlive: Created page with "При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности."

2024-08-11T15:34:38Z

Created page with "При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности."

← Older revision		Revision as of 15:34, 11 August 2024
Line 52:		Line 52:
	У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.		У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.

	~~<div lang="en" dir="ltr" class="mw-content-ltr">~~		При использовании `systemd-stub', ядро и initrd приходится дублировать для '''каждого поколения''', а при использовании заглушки Lanzaboote ядро и initrd можно '''дедуплицировать''' без ущерба для безопасности.
	~~Using~~ `systemd-stub`, ~~a kernel and an~~ initrd ~~has to be duplicated for~~ '''~~each generation~~''', ~~using~~ Lanzaboote~~'s stub, a kernel and~~ initrd ~~can be~~ '''~~deduplicated~~''' ~~without compromising on the security~~.
	~~</div>~~

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">

Unabomberlive at 15:33, 11 August 2024

2024-08-11T15:33:38Z

← Older revision		Revision as of 15:33, 11 August 2024
Line 50:		Line 50:

	== Различия с `systemd-stub` ==		== Различия с `systemd-stub` ==
	У systemd и ~~дистрибутива~~ upstream есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.		У systemd и upstream дистрибутивов есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">

Unabomberlive: Created page with "== Различия с `systemd-stub` == У systemd и дистрибутива upstream есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений."

2024-08-11T15:33:10Z

Created page with "== Различия с `systemd-stub` == У systemd и дистрибутива upstream есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений."

← Older revision		Revision as of 15:33, 11 August 2024
Line 49:		Line 49:
	{{Warning\|Управление ключами - сложная проблема, которая выходит за рамки проекта Lanzaboote, существует множество решений, но не существует единого идеального. Потратьте время на то, чтобы научиться управлять ключами и определить правильный уровень защиты от угроз - это очень важно для эффективной защиты загрузки}}.		{{Warning\|Управление ключами - сложная проблема, которая выходит за рамки проекта Lanzaboote, существует множество решений, но не существует единого идеального. Потратьте время на то, чтобы научиться управлять ключами и определить правильный уровень защиты от угроз - это очень важно для эффективной защиты загрузки}}.

	~~<div lang~~=~~"en" dir~~=~~"ltr" class="mw-content-ltr">~~		== Различия с `systemd-stub` ==
	~~== Differences with~~ `systemd-stub` ==		У systemd и дистрибутива upstream есть существующее решение под названием `systemd-stub`, но оно не подходит для NixOS, так как в системе слишком много поколений.
	systemd ~~and distribution~~ upstream ~~have an existing solution called~~ `systemd-stub` ~~but this is not a realistic solution for~~ NixOS ~~as there's too many generations on a system~~.
	~~</div>~~

	<div lang="en" dir="ltr" class="mw-content-ltr">		<div lang="en" dir="ltr" class="mw-content-ltr">