使用启用安全启动的 Ubuntu/PartedMagic 编辑 grub 菜单

Question

Clonezilla 的内核来自 Ubuntu，因此它是使用 Canonical（维护 Ubuntu 发行版的公司）的 Secure Boot 私钥进行签名的。

如果您的引导过程包含shimx64.efi来自 Ubuntu 的引导，它会（非持久地）将 Canonical 的证书添加到固件的安全引导白名单中，这样您就能够引导 Ubuntu 和 Clonezilla。

一些硬件供应商可能还将 Canonical 的安全启动证书包含在固件白名单中，因此这些供应商的系统在启动 Ubuntu 或 Clonezilla 时将能够省略 shim。

显然 Parted Magic live CD 包含其自己的版本，其中shimx64.efi带有另一个安全启动证书。当该版本的填充程序包含在引导过程中时，您将能够在启用安全引导的情况下引导 Parted Magic。

据我所知，您的选择是：

选项1

您可以尝试在 Parted Magic 介质上使用 shim，而不是使用 GRUBconfigfile指令通过 Ubuntu 的 GRUB 加载 Parted Magic 的配置。chainload

menuentry "partedmagic" {
    insmod chain
    set root=(hd0,gpt7)
    chainloader /EFI/boot/bootx64.efi
}

听起来你可能已经尝试过类似的事情，但你尝试过吗？确切地像这样？

选项2

如果您使用机器所有者密钥 (MOK) 设置 Ubuntu 的 shim 以启用第三方内核模块或自定义内核，则可以使用 MOK 私钥重新签署 Parted Magic 的内核，以允许 Ubuntu 的 GRUB 启动它。

假设 MOK 位于默认位置，这可以通过以下方式完成：

openssl x509 -in /var/lib/shim-signed/mok/MOK.der -inform DER -out /var/lib/shim-signed/mok/MOK.pem
mv <mountpoint of sda7>/pmagic/bzImage <mountpoint of sda7>/pmagic/bzImage.orig

那么要么

sbsign --key /var/lib/shim-signed/mok/MOK.priv --cert /var/lib/shim-signed/mok/MOK.pem \
    --output <mountpoint of sda7>/pmagic/bzImage \
    <mountpoint of sda7>/pmagic/bzImage.orig

或者

osslsigncode -certs /var/lib/shim-signed/mok/MOK.pem -key /var/lib/shim-signed/mok/MOK.priv \-in 
    -h sha256 <mountpoint of sda7>/pmagic/bzImage.orig \
    -out <mountpoint of sda7>/pmagic/bzImage

取决于您可以使用哪种 PE/COFF 二进制签名工具。

选项3

如果您的系统固件允许您操作安全启动密钥白名单 ( db)，您可以将 Canonical 和 Parted Magic 的安全启动证书直接添加到固件白名单中。

要从现有签名的二进制文件中提取安全启动证书*.efi：

osslsigncode extract-signature -pem somefile.efi certificate.pkcs7
openssl pkcs7 -inform pem -print_certs -text -in certificate.pkcs7 >certificate.pem

要将证书添加到固件白名单，您可以使用keytool.efi或 BIOS 设置菜单（如果它们包含必要的功能）。如果我没记错的话，keytool.efi将接受 PEM 格式的证书，但固件更可能需要将证书转换为 DER 格式，或者转换为签名或未签名形式的 EFI 签名列表文件（通常分别为*.esl和*.auth）。

选项0

...或者如果您的系统固件允许您禁用安全启动，您当然可以这样做。

清除安全启动主密钥 (PK) 将安全启动切换到设置模式，这将允许启动任何操作系统，因此它基本上相当于禁用安全启动。

Answer 1