Como isso pôde acontecer: A inicialização segura no UEFI parece funcionar para o Ubuntu, mas não para o Fedora ou o Debian?

Question

Eu reativei a inicialização segura em um sistema existente. Ele então se recusou a inicializar o Debian 7 instalado, ou o meu disco de inicialização para o Fedora 20 Live. Tenho certeza que o Fedora Live passou a inicialização segura neste sistema antes. No entanto, havia também uma instalação antiga do Ubuntu, que era capaz de chegar até o GRUB (se eu selecionasse o Ubuntu no menu de inicialização do UEFI).

Fiquei surpreso porque isso não corresponde à minha vaga compreensão do Secure Boot. Como isso pôde acontecer?

O título para a inicialização segura do UEFI é que as distribuições do Linux usam uma chave derivada da Microsoft. Não me lembro de instalar manualmente quaisquer chaves de inicialização seguras neste sistema, ou seja, que permitiria o boot do Ubuntu, mas não o Debian / Fedora Live. Então, eu me pergunto que tipo de processos automáticos podem ter causado isso?

    

Answer 1

Um antigo documento da FSF sugere que o Ubuntu instale um loader (GRUB) assinado com sua própria chave, sem link para a Microsoft. A mídia de instalação depende da chave usual da Microsoft. [1] [2]

Isso implica que o processo de instalação do Ubuntu carrega a chave do Ubuntu no seu UEFI.

Então, talvez eu tenha limpado as chaves UEFI em algum momento, e então o Ubuntu (talvez seu disco de instalação) restaurou a chave do Ubuntu, mas não a Microsoft.

Não tenho 100% de certeza. Não estou executando mais testes.

[1] aparentemente não é possível ter um carregador de boot assinado usando duas chaves diferentes, ou seja, a chave do Ubuntu e da Microsoft ao mesmo tempo.

[2] e se você está se perguntando por que eles fazem isso - eu não sei exatamente, mas aparentemente o Ubuntu quer que o hardware certificado para Ubuntu também inclua as chaves do Ubuntu. Isso permitiria que você removesse a chave da Microsoft e ainda inicializasse sua instalação do Ubuntu (quando / se você usar um disco de recuperação genérico, você teria que desabilitar a inicialização segura).