# 启用 UEFI 安全启动
UEFI 安全启动通过确保在启动期间只加载经过验证和受信任的软件来增强系统的安全性和可靠性。
## 配置 UEFI 安全启动以生成密钥和证书
可以设置初始 UEFI 安全启动配置，并将密钥和证书转换为 UEFI 可以理解的格式。请参阅工作流，了解目标外准备和设备端执行。
**图：UEFI 安全启动工作流**
Note
OpenSSL 工具包促进了安全通信和加密，而 UEFI 安全启动的密钥和签名由 efitool 管理。
## 安装 OpenSSL 和 efitools
1. 在 Linux 主机上安装 [OpenSSL 0.9.80 June 2010（或更高版本）](https://openssl-library.org/source/)。
2. 使用以下命令安装 [efitools](https://pkgs.org/download/efitools)：
>
>
> - cert-to-efi-sig-list：将 OpenSSL 证书 x 转换为 EFI 签名列表
> - sign-efi-sig-list：签署 EFI 签名列表
> - hash-efi-sig-list：从二进制文件创建哈希签名列表条目
## 生成密钥和证书
要启用 UEFI 安全启动，请生成一对用于签名和身份验证的密钥和证书。
密钥生成支持以下算法：
- RSA 2048/4096 与 SHA-256/SHA384 哈希算法
- ECDSA secp256r1/secp384r1
以下过程提供了以 RSA 2048 和 SHA-256 为例生成密钥和证书的说明。
Note
- 创建一个目录并在同一位置执行命令以在 Linux 计算机上执行这些步骤。
- 关于 ECC，将 `rsa:2048` 替换为 `ec:secp384r1` 或 `ec:secp256r1`。关于 SHA384，请在以下命令中将 `-sha256` 替换为 `-sha384`。
### 生成 UID
您可以生成 GUID 并创建三个新密钥，其中包含 CRT/PEM 格式的自签名证书和 `.key` 格式的密钥：
GUID 使用 `uuidgen` 生成签名所有者 GUID：
uuidgen --random > GUID.txt
Copy to clipboard
### 创建 PK 密钥
1. 创建 PK 密钥对 (RSA-2048) 和证书：
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom PK/" -keyout PK.key -out PK.crt -days 3650 -nodes -sha256
Copy to clipboard
2. 将 `.crt` 文件转换为 `.cer` 文件：
openssl x509 -outform der -in PK.crt -out PK.cer
Copy to clipboard
3. 将 `.crt` 文件转换为 `.esl` 文件：
cert-to-efi-sig-list -g "$(< GUID.txt)" PK.crt PK.esl
Copy to clipboard
4. 使用 `.crt`、`.esl` 和 `.key` 文件签署并生成 `.auth` 文件：
sign-efi-sig-list -k PK.key -c PK.crt PK PK.esl PK.auth
Copy to clipboard
### 创建 KEK 密钥
1. 创建 KEK 密钥对 (RSA-2048) 和证书：
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom KEK/" -keyout KEK.key -out KEK.crt -days 3650 -nodes -sha256
Copy to clipboard
2. 将 `.crt` 文件转换为 `.cer` 文件：
openssl x509 -outform der -in KEK.crt -out KEK.cer
Copy to clipboard
3. 将 `.crt` 文件转换为 `.esl` 文件：
cert-to-efi-sig-list -g "$(< GUID.txt)" KEK.crt KEK.esl
Copy to clipboard
4. 使用 `.crt`、`.esl` 和 `.key` 文件签署并生成 `.auth` 文件：
sign-efi-sig-list -k PK.key -c PK.crt KEK KEK.esl KEK.auth
Copy to clipboard
### 创建 dB 密钥
1. 创建 dB 密钥对 (RSA-2048) 和证书：
openssl req -new -x509 -newkey rsa:2048 -subj "/CN=Custom DB Signing Key 1/" -keyout db.key -out db.crt -days 3650 -nodes -sha256
Copy to clipboard
2. 将 `.crt` 文件转换为 `.cer` 文件：
openssl x509 -outform der -in db.crt -out db.cer
Copy to clipboard
3. 将 `.crt` 文件转换为 `.esl` 文件：
cert-to-efi-sig-list -g "$(< GUID.txt)" db.crt db.esl
Copy to clipboard
4. 使用 `.crt`、`.esl` 和 `.key` 文件签名并生成 `.auth` 文件：
sign-efi-sig-list -k KEK.key -c KEK.crt db db.esl db.auth
Copy to clipboard
## 对镜像进行签名并将 (.auth) 密钥/签名文件复制到 EFI 分区
EFI 系统分区由 EFI、loader 和 ostree 组成，其中包含使用 systemd-boot 时与 EFI 相关的信息。DTB 分区由 dtb 目录组成。
EFI 系统分区包含启动系统和管理更新的基本文件，而 DTB 分区包含硬件配置信息。本节提供以下说明：
>
>
> - 对各种镜像进行签名
> - 将 `(.auth)` 密钥和签名文件复制到 EFI 分区和 DTB 分区目录。
> - 将签名和可执行镜像（例如 `bootaa64.efi` 文件 (systemd-boot)）放置在 `efimountedbin/EFI/BOOT/` 目录中，将 `vmlinuz.x.x.xx` 文件 (Linux) 镜像放置在 `efimountedbin/ostree/poky-xxx/vmlinuz-x.x.xx` 目录中。
systemd-boot 验证签名的镜像，还用于注册以下内容：
>
>
> - UEFI 安全启动密钥放置在 `/keys` 中的特定目录中以进行密钥注册。systemd-boot 使用这些密钥，并在 UEFI 引导服务期间把它们预配到 RPMB 或 UEFI 变量存储中。
> - 您可以在 systemd-boot 加载程序配置中配置等待时间（以秒为单位）。内核加载在等待期间会延迟，因此您可以在 systemd-boot 菜单中查看和选择可用选项。
> - 设备树文件存储在 `dtbmountedbin/dtb` 目录中。UEFI 在 runtime 使用这些文件，并初始化设备树文件。签名时，将创建 `.sig` 个文件并将其放置在同一目录中，因为这些文件是非 PE 镜像。
>
>
> 表：EFI 系统分区（efi.bin）
>
>
> | `/EFI` | `/Loader` | `/ostree` |
> | --- | --- | --- |
> | `/Boot/bootaa64.efi` | `loader.conf` | `poky-xxx/vmlinuz-x.x.xx` |
> | | `/keys/authkeys/db.auth`
`/keys/authkeys/KEK.auth`
`/keys/authkeys/PK.auth` | |
>
>
>
>
> 表：DTB 分区 (dtb.bin)
>
>
> | `combined-dtb.dtb` | `combined-dtb.sig` | `/loader` |
> | --- | --- | --- |
> | | | `/keys/authkeys/db.auth`
`/keys/authkeys/KEK.auth`
`/keys/authkeys/PK.auth` |
### 将签名的镜像和密钥放在 EFI 分区中
按照以下步骤将已签名镜像和密钥放在 Linux 主机上的 EFI 分区中：
1. 在 `contents.xml` 文件中找到 `efi.bin` 和 `dtb.bin` 文件路径，以从元获取 `efi.bin` 和 dtb.bin` 文件。
2. 将 `efi.bin` 文件挂载至 `` 目录中，并在 `` 目录中创建 `efimountedbin` 目录。
3. 将 `dtb.bin` 文件挂载至 <workspace> 目录中，并在 <workspace> 目录中创建一个 `dtbmountedbin` 目录。
4. 挂载 `efi.bin` 文件：
sudo mount efi.bin efimountedbin
Copy to clipboard
cd efimountedbin
Copy to clipboard
5. 挂载 `dtb.bin` 文件：
sudo mount dtb.bin dtbmountedbin
Copy to clipboard
cd dtbmountedbin
Copy to clipboard
6. 在 `/efimountedbin/loader/keys` 目录中创建 authkeys 目录以注册密钥。
7. 选择 `.auth` 文件（`PK.auth`、`KEK.auth` 和 `db.auth`）并将其复制至 authkeys 目录。
sudo cp
/efimountedbin/loader/keys/authkeys/
Copy to clipboard
8. 在 `/dtbmountedbin/loader/keys directory` 中创建一个 `authkeys` 目录以注册密匙。
9. 选择 `.auth files`（PK.auth、KEK.auth 和 dB.auth），并将其复制到 `dtbmountedbin` 中的 authkeys 目录。
sudo cp /dtbmountedbin/loader/keys/authkeys/
Copy to clipboard
10. 使用密匙对 `bootaa64.efi, uki.efi and dtb`、`vmlinuz-x.x.xx` 和 `combined-dtb.dtb` 镜像文件进行签名，并将其复制到 `efimountedbin` 目录中的相应的目录。
1. 为 `efi` 镜像签名：
sbsign 工具旨在对 EFI 启动镜像进行签名，例如遵循 EFI 规范的 `bootaa64.efior UKI.efi`。此工具用于 UEFI 安全启动签名，可在 Linux 系统上下载并使用。需要注意的是，sbsign 只能对扩展名为 `.efi` 的 PE 镜像进行签名。
1. 将 `/efimountedbin` 目录 `/EFI/BOOT` 中的 `bootaa64.efi` 文件和 `/ostree/poky-xxx/vmlinuz.x.x.xx` 目录中的 `vmlinuz-x.x.xx` 文件复制至 Linux 计算机上的 `images` 目录。
2. 在镜像上签名：
>
>
> cd /images
> Copy to clipboard
>
>
> sudo sbsign --key /keys/db.key --cert /keys/db.crt bootaa64.efi --output /bootaa64.efi
> Copy to clipboard
>
>
> sudo sbsign --key /keys/db.key --cert /keys/db.crt vmlinuz.x.x.xx --output /vmlinuz.x.x.xx
> Copy to clipboard
2. 对 `dtb` 镜像进行签名：
已通过 UEFI 安全启动身份验证的所有镜像都是常规 API，通常采用 PE 格式。签名标头和大小追加到现有 PE 标头，签名追加到已签名文件的末尾。
但是，当非 PE 格式的镜像需要 UEFI 安全启动身份验证时，缺少 PE 标头及魔数会导致识别镜像格式失败。因此，无法使用标准工具和路径进行镜像验证。
目前 UEFI 安全启动验证的镜像列表中，只有 dtb 文件是非 PE 格式的镜像。作为 sbsign 工具的替代方案，您可以使用 `OpenSSL cms` 命令生成签名文件，用于对非 PE 格式的镜像进行签名。
按照以下步骤对非 EFI 镜像进行签名：
1. 要对 dtb 文件和签名文件进行签名，请运行以下命令：
>
>
> openssl cms -sign -inkey < .key file > -signer < .crt file > -binary -in –out < Output .dtb.sig file > -outform DER
> Copy to clipboard
2. 要对镜像进行签名，请运行以下命令：
>
>
> cd /images
> Copy to clipboard
>
>
> sudo openssl cms -sign -inkey /keys/db.key -signer /keys/db.crt -binary -in combined-dtb.dtb --out combined-dtb.sig -outform DER
> Copy to clipboard
11. 将签名的 `combined-dtb.sig`、`vmlinuz.x.x.xx` 和 `bootaa64.efi` 镜像复制回其各自的目录 `(dtbmountedbin/, efimountedbin/ostree/poky-xxx/, and efimountedbin/EFI/BOOT/)`。
12. 在 systemd-boot 中配置等待时间：
1. 使用 sudo access 打开并编辑 `/loader/loader.conf` 处的 `loader.conf` 文件：
>
>
> sudo vi loader.conf
> Copy to clipboard
2. 添加行 `timeout 2` 以设置启动菜单超时并保存文件。
13. 要卸载 EFI 二进制文件以获取最新的 `efi.bin` 文件，请运行以下命令：
>
>
> sudo umount efimountedbin
> Copy to clipboard
14. 要卸载 DTB 二进制文件以获取最新的 `dtb.bin` 文件，请运行以下命令：
>
>
> sudo umount dtbmountedbin
> Copy to clipboard
15. 将已签名镜像和密钥安全地放置在目标上的 EFI 分区中。
>
>
> 让设备进入 Fastboot 模式，并使用 fastboot 命令刷新最新 `efi.bin` 文件：
>
>
>
> >
> >
> > fastboot flash efi
> >
> > fastboot flash dtb_a
> > Copy to clipboard
如需了解更多信息，请参阅 [quic/host-signing-tool](https://github.com/quic/host-signing-tool)。
## 从 systemd-boot 菜单启用 UEFI 安全启动
EFI 二进制文件由签名镜像和安全启动密钥组成，生成这些镜像和密钥，然后刷写到系统中。有关详细信息，请参阅[对镜像进行签名并将 (.auth) 密钥/签名文件复制到 EFI 分区](https://docs.qualcomm.com/doc/80-70022-11SC/topic/enable-uefi-secure-boot.html#section-sign-images-copy-auth-key-label)。
在下次启动期间加载并执行 UEFI 时，systemd-boot 管理器会在屏幕上显示 **EnrollSecure Boot keys: authkeys** 和 **Ubuntu1 8.04.6 LTS** 菜单选项
Note
这些选项会在配置超时时间后显示。关于更多信息，请参阅 `loader.conf` 在[签名镜像并将 (.auth) 密钥/签名文件复制至 EFI 分区](https://docs.qualcomm.com/doc/80-70022-11SC/topic/enable-uefi-secure-boot.html#section-sign-images-copy-auth-key-label)中的设置。
**图：Systemd-boot 菜单选项**
您可以使用音量 **+/-** 按钮进行导航并选择适当的选项来注册密钥。
成功注册密钥后，UEFI 会自动从 **SetupMode** 切换到 **UserMode**。当 systemd-boot 触发系统重置以应用更改时，UEFI 安全启动启用的日志将列在系列日志中。
默认情况下，UEFI 在 **UserMode** 下启动，并在后续启动周期中初始化 UEFI 安全启动。当 systemd-boot 将控制权转移到 `KERNEL EFI STUB` 时，UEFI 安全启动启用的日志会在串行日志中列出。
**图：串行日志中的 UEFI 安全启动启用信息**
使用 systemd-boot 注册的选项仅可用一次。此版本不支持重新配置和更新 UEFI 安全启动密钥。
## 对未签名镜像进行哈希处理并更新数据库以进行镜像身份验证
UEFI 安全启动允许镜像身份验证。此身份验证是通过存储在签名数据库 (dB) 中的镜像的哈希来实现的，即使镜像未签名或镜像中的证书不存在于 dB 中也是如此。
此过程保留用于无法从其供应商提供的状态签名或更改的内容。如果镜像哈希在数据库拒绝 (dBX) 列表中可用，则可以删除对签名二进制文件的信任，而无需撤销相应的证书或密钥。例如，在处理易受近期漏洞利用的早期签名 boot loader 时，这很有用。。
应用签名并为同一二进制文件创建 dB 哈希是多余的。如果镜像合成不需要任何更改，这意味着不会在镜像中添加或修改新密钥和证书，并且现有镜像不需要 UEFI 安全启动身份验证，请按照以下步骤操作。
您可以计算镜像的哈希值并生成允许的签名 dB 文件。
### 为未签名镜像生成 db.auth 文件
1. 生成所有要验证的镜像的哈希值，并将哈希值转换为 `.esl` 文件：
hash-to-efi-sig-list