Secureboot & dualboot erfahrungeen

a year ago by Quatlicopatlix to c/bogengemeinschaft

Hi, ich will endlich auf endevaouros als Einstieg auf arch umsteigen, leider brauche ich für manche Sachen (bf6 und Zeug) noch win11. Wegen win11 brauche ich secureboot. Im archwiki habe ich bereits gelesen wie ich ein secureboot ans laufen bringen kann und keys generiere, mich würde aber interessieren wie eure erfahrungen mit secureboot und dualbooting sind gerade was updates angeht. Ich würde win11 auf eine separate platte packen aber ich bin mir noch nicht sicher was ich als erstes installieren soll oder welchen bootmanager man am besten benutzt. Win10 hat meine grub installation schon einmal kaputt gemacht da habe ich aber arch&grub nach win10 installiert.

Auf der Arbeit arbeite ich zur Zeit mit embedded linux (also yocto, uboot etc) und der wsl mit ubuntu.

load all comments

alanceil 4 points a year ago

Ich lasse ein https://wiki.archlinux.org/... erzeugen, welches von sbctl im Anschluss eines Kernelupdates automatisch signiert wird. Das boote ich direkt ohne Bootloader. Gleichsam ist der Win11 bootmgfw.efi auch mit sbctl manuell signiert. Im Bootmenü registriert wird so ein UKI oder eine .efi Datei mit efibootmgr. Registrier dir noch eine EFI-Shell mit, dann kannst du notfalls mit anderen Kernelparametern booten.

Ein Rettungslinux auf einem USB-Stick solltest du auch signieren. Muss nicht ins Bootmenü. Wenn du das brauchst, kannst du es wenigstens per EFI-Shell starten.

Wenn du sbctl die MS-Zertifikate installieren lässt, tust du dich beim Windows Update leichter, da du dir das manuelle Signieren sparen kannst.

In meinem BIOS habe ich das Verifizieren des Option ROM ausgemacht. Sonst hast bei einem Zertifikatsunfall evtl. keine Grafikkartenausgabe mehr, da das GPU-BIOS auch signiert sein muss.

Nachtrag, falls dir das zu viel ist: Win11 will Secure Boot nur beim Installieren sehen. Es startet (noch) auch Ohne.

Ob das so alles mit EndeavourOS funktioniert, vermag ich dir leider nicht zu bestätigen. Wenn du gleich mit dem Bogen den Sprung ins kalte Wasser wagst, weißt du wenigstens genau, was du getan hast.

save

path: 0 19069081, hotness: undefined, score: 4, children: 7

Quatlicopatlix 2 points a year ago

Ok viiiieeelen Dank für die umfangreiche Hilfe!!

Ich wollte mit endevaour erst mal eine arch basierte distro testen und dann schauen ob es sich lohnt alles selbst zu konfigurieren oder ob ich damit zufrieden bin, in erster linie geht es mir darum einen guten paketmanager zu haben der recht aktuelle pakete bietet, deswegen etwas arch basiertes.

Das mit dem signieren der schlüssel habe ich verstanden, der tipp noch einen usbstick mit zu signieren ist sehr gut, daran hätte ich nicht gedacht.

Ich habe aber noch nicht genau verstanden ob du noch einen seeparaten bootmanager hast bzw. Wie du auswählst welches os beim start gebootet werden soll? Endevaour ist ja arch basiert also hoffe ich, dass das signieren mit scbtl da so funktioniert wie unter reinem arch auch aber da wende ich mich noch einmal an das endevaour forum.

Ich bin wie gesagt eher im embeddes bereich unterwegs, da ist nichts mit uefi oder secureboot weil kein x86 sondern arm deswegen kenne ich mich noch nicht so ganz damit aus. Man muss da halt mit dem devicetree kämpfen und wissen wo genau die cpu nach ihrem bootloader sucht also eine ganz andere welt.

Werde mir das arch wiki auch nochmal dazu durchlesen.

save

path: 0 19069081 19073340, hotness: undefined, score: 2, children: 6

alanceil 1 point a year ago

Das Start-OS wähle ich durch drücken von (bei mir) F11, damit bleibt der Bootvorgang bei einem Auswahlmenü stehen. Das sind alles Funktionen des BIOS, ich verwende keinen Grub/Shim/etc. Welche Einträge im Menü sind und was der Default ist, das verwaltest du mit dem efibootmgr Kommando.

save

path: 0 19069081 19073340 19076018, hotness: undefined, score: 1, children: 5

Quatlicopatlix 1 point 10 months ago

Ich melde mich zurück da ich die Woche zum installieren gekommen bin aber es nicht schaffe das uki ans laufen zu bringen. Mit was erzeugst du das uki? Mir wäre am liebsten, dass das auch beim update automatisch passiert und gesigned wird. Mit scbtl sollte das signieren ja per hook automatisch gehen? Ich wollte das uki per dracut erzeugen da endevaouros ja eh dracut nutzt aber das klappt nicht richtig. Ich werde manchmal aus dem arch wiki nicht ganz schlau...

save

path: 0 19069081 19073340 19076018 19864598, hotness: undefined, score: 1, children: 4

alanceil 1 point 10 months ago

Das passiert bei mir automatisch beim Update durch mkinitcpio. Das signieren geht, wie du schon schreibst, per Hook.

/etc/mkinitcpio.d/linux.preset:

ALL_kver="/boot/vmlinuz-linux"
PRESETS=('default')
default_uki="/boot/uki.efi"

Das liegt dann unter /boot/uki.efi und ist per efibootmgr direkt im UEFI eingetragen:

# efibootmgr -u
BootCurrent: 0005
Timeout: 1 seconds
BootOrder: 0005,0002
Boot0002* Shell HD(3,GPT,...)/\EFI\SHELL.EFI
Boot0005* Linux HD(3,GPT,...)/\UKI.EFI

Nicht vergessen, eine cmdline.conf zu erzeugen. z.B. /etc/cmdline.d/local.conf:

cryptdevice=PARTLABEL=ROOT:root root=/dev/mapper/root rw

save

path: 0 19069081 19073340 19076018 19864598 19881468, hotness: undefined, score: 1, children: 3

Quatlicopatlix 1 point 10 months ago

Vieeeeelen Dank für die hilfe, wie das aber immer ist habe ich kurz bevor ich die antwort gesehen habe, es seblst geschafft. Mit dracut, systemd ukify und dem dracut ukify aur package funktioniert es problemlos.

Aals nächstes kümmere ich mich um die signierung mit scbtl, sollte ich neben dem liveusb noch einen backup uki signieren falls mal etwas schiefläuft? Du hast ja etwas von einer rescue shell geschrieben, meinst du den liveusb oder kommt die auch in die esp partition?

save

path: 0 19069081 19073340 19076018 19864598 19881468 19883013, hotness: undefined, score: 1, children: 2

alanceil 1 point 10 months ago

Mit rescue shell meine ich die EFI Shell, die kommt ins ESP. Ich habe neben meinem Hauptkernel (oben in der Config) auch noch einen lts Kernel im ESP liegen. Wenn ein Treiber mal wieder nicht mag, kann ich damit alternativ Booten.

save

path: 0 19069081 19073340 19076018 19864598 19881468 19883013 19884838, hotness: undefined, score: 1, children: 1

Quatlicopatlix 1 point 10 months ago

Ahh ok danke für den Tipp, vieelen dank!! :)

save

path: 0 19069081 19073340 19076018 19864598 19881468 19883013 19884838 19898371, hotness: undefined, score: 1, children: 0