# 自己的 kernel 自己簽：secure boot 的開源之旅

{%hackmd @coscup/announcement-2025 %}

[PDF Slide](https://drive.google.com/file/d/1WxWlPhaBkZi1zcr4FTZNOgcV050phbpi/view?usp=sharing)

遭 bootkit 感染後，就算重灌作業系統可能也無法移除
防禦 bootkit 基本招: **開啟 secure boot**

UEFI 驗證 bootloader -> bootloaer 驗證 OS

DXE driver 位於 firmware volumen 儲存區， root of trust 始於 Intel Boot Guard / AMD Hardware Validate boot
Secure boot 是之後得事，用於驗證 boot loader, OS

Secure Boot 無法阻擋對 uEFI, driver 的攻擊

移除 bootkit 的方式: 格式化硬碟、對 SPI Flash 重燒 firmware

Secure boot 使用 key 驗證載入的 bootloader,
- PKG (Platform Key): 最高級金鑰，只允許存在一把，由製造商寫入
- KEK (Key Exchange Key): 用於更新 DB, DBX
- DB (Signature Dtabase): 儲存合法的 key

擺脫 M$ 的方法:
PK 換成自己的 -> 有些 driver 是微軟簽的話可能會出事
Shim Bootloader -> 允許機器擁有者 machine owner 註冊自己的金鑰

NVRAM負責儲存 UEFI 變數，這些變數通常存放在 SPL flash 上的 firmware volumen 中，包含 PK、KEK、MOK

Shim MOK 不是 UEFI 標準，需要事先用 Microsoft key 簽過

GRUB Secure Boot
- 確保 OS 完整性
- Full Disk Encryption (FDE)

Linux Live USB 開啟加密硬碟其實不慢 -> 慢的是 GRUB

增加不加密的 boot partition 開機會比較快

ucode: 微指令 microcode
initramfs: kernel 將此作為初始filesystem, 非直接讀取硬碟
vmlinuz: kernel 執行檔

Boot 不加密
MOK 可簽 grub config, initramfs -> 將他們包進執行檔就可以簽名 （grub-standalone, UKI：unified kernel image)

FDE 全硬碟加密 -> 太慢

GRUB Secure Boot 設置
- 根據 arch wiki 設定 grub preload modules, 事先包進 binary
- 在 grub.cfg 設定 `check_signatures=enforce` => 不合理，別人可以改掉
- 在 config 中設定 check_signatures 會導致行為不一致

GRUB 強制啟動 GPG 簽名

GRUB 不支援 UKI

Windows EFI 要用 GPG 簽 GRUB 才要載入

講者沒測試過 rEFInd 和 systemd-boot

未解之謎
- TPM PCR0 reconstruction: not found

###### tags: `COSCUP2025`, `zhtw`, `advanced`