hello efi 的 UEFI 安全启动问题答案

【问题标题】：UEFI secure boot issues with hello efihello efi 的 UEFI 安全启动问题
【发布时间】：2018-02-09 08:26:40
【问题描述】：

我创建了一个 efi 并使用文档用 pesign 签名 -

UEFI 安全启动：

并启动：

sudo qemu-system-x86_64 -L . -pflash /usr/share/qemu/OVMF.fd -hda fat:uefi_disk

uefi 磁盘包含签名的 efi 文件

但为了安全启动，我需要拥有

DB
DBX
KEK
PK

这样我就可以注册 OVMF 安全启动但是在教程中，从来没有得到这些如何生成。请推荐

【问题讨论】：

【解决方案1】：

除了为安全启动生成密钥外，还需要对密钥进行签名。此处详细定义了生成密钥、签名并将其存储到密钥库的过程https://www.rodsbooks.com/efi-bootloaders/secureboot.html

安全密钥可以分为私有和公共两种方式，安全启动遵循信任根链，用于密钥添加 PK=>KEK=>DB。 DB 的任何更改都需要使用 KEK 私钥签名，KEK 的更改需要使用 PK 私钥签名，而 PK 的更改需要使用之前的 PK 公钥的私钥签名。

注意：要从 BIOS 替换以前的 PK，您需要一个由平台所有者签名的空密钥。大多数 BIOS 允许在不验证的情况下更改密钥，但理想情况下不应允许。安全启动的全部目的是可以追踪到信任根并进行验证。

除了生成全新的密钥集外，您还可以使用机器所有者的密钥 MOK 来注册具有安全启动的新密钥。

【讨论】：