Secure Boot/ru: Difference between revisions
Created page with "<code>stub</code> - это UEFI-приложение, которое загружает ядро и initrd из ESP. Оно отличается от systemd-stub, смотрите ниже, чтобы увидеть точные различия." |
Quriosity0 (talk | contribs) No edit summary |
||
| (19 intermediate revisions by 3 users not shown) | |||
| Line 5: | Line 5: | ||
<div lang="en" dir="ltr" class="mw-content-ltr"> | <div lang="en" dir="ltr" class="mw-content-ltr"> | ||
[[Category:Security]] | |||
[[Category:Booting]] | |||
</div> | </div> | ||
== Проверка состояния безопасной загрузки == | |||
== | самый лёгкий способ проверить, включена ли безопасная загрузка на вашем компьютере - использовать <code>bootctl</code> от [[Systemd]]. Необязательно использовать [[Systemd/boot|systemd-boot]] как ваш основной загрузчик, чтобы эта команда работала. | ||
<syntaxhighlight lang="console"> | |||
< | |||
$ bootctl status | $ bootctl status | ||
System: | System: | ||
Firmware: UEFI 2.80 (American Megatrends 5.25) | |||
Firmware Arch: x64 | |||
Secure Boot: enabled (user) | |||
TPM2 Support: yes | |||
Measured UKI: yes | |||
Boot into FW: supported | |||
... | ... | ||
</ | </syntaxhighlight> | ||
</ | В продемонстрированной выше системе включена и используется безопасная загрузка. Другие значения включают <code>disabled (setup)</code> для режима настройки, <code>disabled (disabled)</code> или <code>disabled (unsupported)</code>. Тэг unsupported появляется только если ваша материнская плата или её программное обеспечение не поддерживает безопасную загрузку. | ||
Если вы видите <code>disabled (disabled)</code>, это значит, что вам нужно включить безопасную загрузку в настройках UEFI перед тем как продолжить, чтобы использовать один из описанных ниже проектов | |||
== Включение безопасной загрузки на NixOS == | |||
В NixOS на данный момент имеется два способа включения безопасной загрузки, [[Lanzaboote]] и [[Limine]]. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики. | |||
Чтобы безопасная загрузка была максимально эффективна, должны быть соблюдены определённые условия. Самими важными являются: | |||
<div lang="en" dir="ltr" class="mw-content-ltr"> | <div lang="en" dir="ltr" class="mw-content-ltr"> | ||
# The UEFI firmware is protected by a strong password to prevent an untrusted drive from being booted or Secure Boot being disabled. | |||
</div> | # Full disk encryption is enabled so that your drive cannot simply be read by putting it another another machine. | ||
# Ideally, default OEM/third party keys are not in use as these have been shown to weaken the security of Secure Boot significantly.<ref>https://habr.com/ru/articles/446238/</ref> However, this may brick some devices which use Microsoft-signed OpROMS for certain hardware during the boot process, particularly some laptops, so you must be certain before removing them. It may be impossible to fix if, for example, the GPU relies on these OpROMS. | |||
</div> | |||
<div lang="en" dir="ltr" class="mw-content-ltr"> | <div lang="en" dir="ltr" class="mw-content-ltr"> | ||
== | == See Also == | ||
[https://wiki.archlinux.org/title/Unified_Extensible_Firmware_Interface/Secure_Boot Arch Wiki/Secure Boot] Extensive information on Secure Boot including using UKIs. | |||
</div> | |||
</div> | |||
< | <references /> | ||
Latest revision as of 19:52, 20 July 2026
Под безопасной загрузкой обычно подразумевается возможность встроенного программного обеспечения платформы проверять компоненты загрузки и гарантировать, что загрузится только ваша собственная операционная система.
Secure Boot имеет несколько реализаций, наиболее известная - UEFI Secure Boot, которая опирается на прошивку платформы UEFI, но во встраиваемых системах могут существовать и другие реализации.
Проверка состояния безопасной загрузки
самый лёгкий способ проверить, включена ли безопасная загрузка на вашем компьютере - использовать bootctl от Systemd. Необязательно использовать systemd-boot как ваш основной загрузчик, чтобы эта команда работала.
$ bootctl status
System:
Firmware: UEFI 2.80 (American Megatrends 5.25)
Firmware Arch: x64
Secure Boot: enabled (user)
TPM2 Support: yes
Measured UKI: yes
Boot into FW: supported
...
В продемонстрированной выше системе включена и используется безопасная загрузка. Другие значения включают disabled (setup) для режима настройки, disabled (disabled) или disabled (unsupported). Тэг unsupported появляется только если ваша материнская плата или её программное обеспечение не поддерживает безопасную загрузку.
Если вы видите disabled (disabled), это значит, что вам нужно включить безопасную загрузку в настройках UEFI перед тем как продолжить, чтобы использовать один из описанных ниже проектов
Включение безопасной загрузки на NixOS
В NixOS на данный момент имеется два способа включения безопасной загрузки, Lanzaboote и Limine. Пошаговые инструкции по каждому из них вы найдете на соответствующих страницах вики.
Чтобы безопасная загрузка была максимально эффективна, должны быть соблюдены определённые условия. Самими важными являются:
- The UEFI firmware is protected by a strong password to prevent an untrusted drive from being booted or Secure Boot being disabled.
- Full disk encryption is enabled so that your drive cannot simply be read by putting it another another machine.
- Ideally, default OEM/third party keys are not in use as these have been shown to weaken the security of Secure Boot significantly.[1] However, this may brick some devices which use Microsoft-signed OpROMS for certain hardware during the boot process, particularly some laptops, so you must be certain before removing them. It may be impossible to fix if, for example, the GPU relies on these OpROMS.
See Also
Arch Wiki/Secure Boot Extensive information on Secure Boot including using UKIs.