Como posso compilar e assinar o Grub de forma que o Secure Boot permita?

Question

Como o arquivo .efi do Grub2 compilado por mim não passou pela assinatura de código (como o certificado de assinatura de código EV), e agora meu programa (arquivo .efi) não pode inicializar computadores que ativaram o Secure Boot! / p>

A minha pergunta é que o Certificado de Assinatura do Código EV pode resolver este problema? Existem outras soluções para corrigir isso?

    

Answer 1

Gere uma nova chave rsa e um par de certificados com openssl :

openssl req -new -x509 -sha256 -newkey rsa:<BITS> 
            -keyout <PRIVATE_KEY_PATH> 
            -outform PEM 
            -out <CRT_CERTIFICATE_PATH>

Em seguida, use sbsign (ou o arquivo de sinais dentro de linux-headers in /usr/src ):

sbsign --key <PRIVATE_KEY> --cert <CRT_CERTIFICATE>
       --output <SIGNED_GRUB_PATH>
       <UNSIGNED_GRUB_PATH>

Gere o certificado DER e importe-o para o firmware:

openssl x509 -in <CRT_CERTIFICATE_PATH>
             -outform DER
             -out <DER_CERTIFICATE_PATH>

sudo mokutil --import <DER_CERTIFICATE_PATH>