Como criar um CD de inicialização compatível com inicialização segura

Question

Eu encontrei um pouco de informação flutuando na Internet sobre como instalar Linux em um harddisk e fazer o Secure Boot funcionar com ele. Mas não consigo encontrar um único fragmento de informação sobre como fazer um live CD inicializável . Alguém sabe como fazer isso?

Estou usando o Kiwi para criar um CD baseado no OpenSUSE 13.1. O DVD de instalação real do OpenSUSE é inicializado no modo de Inicialização Segura, mas não tenho certeza de como replicar esse feito sozinho. Alguém sabe qual botão mágico eu preciso pressionar?

Eu não posso testar isso, mas imagino que o CD de inicialização já funcione com o EFI. Mas isso não funciona com o Secure Boot. (E por que isso? Não é assinado com nada.)

(Apenas para esclarecer: a máquina de teste que tenho disponível não permite que você desabilite o Secure Boot. Você pode desabilitar completamente o EFI e reverter para o BIOS legado, mas não pode desligar apenas a parte Secure Boot. t muito útil, mas de qualquer maneira ...)

    

Answer 1

OK, resolvido!

• Obtenha o Kiwi para criar um CD que funcione no modo BIOS. (O meu é híbrido; não tem 100% de certeza se é necessário ou não.)

• Encontre a linha que diz

<type image="iso" hybrid="true" boottimeout="1" boot="isoboot/suse-13.1" flags="clic"/>

e mude para

<type image="iso" hybrid="true" firmware="uefi" boottimeout="1" boot="isoboot/suse-13.1" flags="clic"/>

• Crie seu CD. O Kiwi cuida automaticamente de tudo para que funcione no modo (U) EFI, mesmo com o Secure Boot ligado.

Importante: Apenas a versão do Kiwi 64-bit lida com isso. A versão de 32 bits só fez metade do trabalho, deixando-me com um CD que inicializa no Grub e depois fica "preso". Parece que o Grub2-EFI se recusa a inicializar um sistema operacional de 32 bits ...

Se eu soubesse sobre essa troca secreta de documentos, eu poderia ter me poupado de um mês inteiro de mágoa!

    

Answer 2

Esta resposta está incompleta.

Então aqui está um resumo do que eu sei até agora ...

O BIOS, claro, olha para o bloco de inicialização para descobrir se um dispositivo é inicializável e, em caso afirmativo, inicializá-lo. A EFI não se importa com essas coisas; ele procura por uma partição de sistema EFI (ESP). Se encontrar um, ele inicializa o programa configurado. No caso de um dispositivo removível , não haverá nada configurado, então parece que o padrão para inicializar qualquer arquivo é chamado /boot/bootx68.efi .

Posso confirmar que simplesmente colocar esse arquivo em um CD-ROM não funciona . Na verdade, o DVD de inicialização do OpenSUSE funciona em sistemas EFI com Secure Boot, mas simplesmente copiar todos os seus arquivos para outro DVD não funciona. Então parece que você tem que fazer algo diferente de simplesmente ter o carregador de boot no disco em algum lugar.

Olhando para o DVD do OpenSUSE, parece que a "área do sistema" ISO-9660 contém um MBR válido, que define duas partições, uma das quais é um ESP. Se isso é essencial para o fato de o EFI-boot funcionar ou se isso é apenas para permitir a gravação da imagem ISO em um pendrive, não sei. Ainda estou pesquisando o assunto ...

Atualização:

Olhando para o arquivo Kiwi para o DVD do OpenSUSE , parece que o Kiwi tem uma opção completamente não documentada firmware="uefi" . Definir essa opção faz com que isohybrid seja chamado com a opção --efi . Se eu também adicionar alguns arquivos extraídos do DVD oficial do OpenSUSE, posso chegar até o menu do Grub. O SO não inicializa , mas isso é presumivelmente para o Grub ...