UEFI简介

最新推荐文章于 2024-09-22 20:42:28 发布
最新推荐文章于 2024-09-22 20:42:28 发布
阅读量5.8k 收藏 16
点赞数 3
分类专栏： Linux系统 文章标签： UEFI

https://en.opensuse.org/openSUSE:UEFI

2 关于UEFI

2.1 EFI标准简介

UEFI(Unified Extensible Firmware Interface)是一个新的工业标准，规定了一个预启动环境中的系统接口。UEFI会在电源加电之后以及操作系统完全加载之后控制系统。而且，UEFI也负责在系统提供的资源和运转中的系统之前提供接口。

换句话说，UEFI是用于取代和扩展旧的BIOS固件。

UEFI并不是一件全新的事物。Intel在90年代中期就开始了EFI/UEFI的相关工作，而一些厂商例如HP或者Apple早已提供了EFI的机器。不过，直到微软的windows8发布，UEFI才成为引导新的认证机器所必须的。

UEFI规范(http://www.uefi.org/specs/)是一份非常全面的文档，它包含了固件制造商必须提供的、可以为操作系统访问的所有的接口、变量和结构的定义。而Linux从2000年开始已经可以通过grub或者elilo提供EFI支持。

Secure boot是UEFI的一个扩展。UEFI的一个关键点就是它可以被扩展。UEFI有一个内部的虚拟机，其运行是独立于架构的。该标准接受为此虚拟机编译的特定二进制文件（EFI执行文件），并在次环境中执行。这些执行文件可以是设备驱动、应用程序或者UEFI标准的扩展。UEFI，在某种意义上说，像是计算机启动时运行的一个小型的操作系统，改操作系统的主要任务就是查找并加载另一个主力的操作系统。

2.2 GPT

UEFI改动的不止有固件，系统调用和接口。它也提议了一种新的硬盘分区结构。GUID分区表（GPT）将取代老式的主引导记录(MBR)方案。

MBR有一些重要的限制，比如主分区和逻辑分区的数量，分区的大小等。GPT解决了这些问题，现在我们可以有不超过128个的任意数量的分区，可寻址的磁盘空间达到128PB(1PB=1024TB),因此这种分区方式适合大硬盘。另外一个很重要的特性是GPT采用UUID来标识每一个分区，避免了分区标识的冲突。

如果安装程序检测到我们处于EFI模式，它就会创建GPT分区。但是一旦使用了GPT分区，我们就不能在创建、删除和编译旧的分区类型。GPT采用gdisk来取代fdisk的功能，二者的方法是类似的。

2.3 EFI系统分区

EFI系统分区（ESP）是一个放置EFI程序的地方。而EFI程序就是用来启动安装在设备上的操作系统的。同时。EFI也会查找启动时所用的设备驱动以及其他的在操作系统启动前所要运行的工具。

EFI分区采用FAT文件系统。如果之前已经安装过一个windows系统的话，就可以通过将Linux的EFI bootloader放在同一个分区并挂载到Linux的/boot/efi目录即可。

默认情况下，固件会去搜索/EFI/BOOT/bootx64.efi作为要装载和执行的EFI扩展来启动操作系统。而在Windows系统中，正确的EFI扩展位于/EFI/Microsoft/Boot/BCD.efi,openSUSE系统则是/EFI/opensuse/grubx64.efi(如果secure boot启动的话则是shim.efi)

2.4 启动管理器（Boot Manager）

如果选择一个正确的EFI扩展区load操作系统，EFI提供给用户一个内部的启动管理器。操作系统可以为自己创建一个新的入口，我们可以在开机时使用F9/F12键区launch启动管理器，并且列出所有的启动项，也可以通过efibootmgr工具区查询和编辑所有的启动项。例如，我们可以使用efibootmgr -v列出当前所有的启动项。

如果因为某些原因导致启动项消失，可以通过efibootmgr命令重新创建。例如

# efibootmgr -c -L "OS NAME" -l "\EFI\path\grubx64.efi"

2.5 EFI变量

UEFI指定了一个变量集，存储在固件的非可变区域。这些变量用于存储信息以及控制UEFI系统的行为。当我们使用启动管理器创建一个新的启动项的时候，或者当我们启动/禁用一个secure boot选项的时候，我们就会访问和修改这些变量的值。

我们可以通过sysfs直接查看访问这些变量。sysfs是kernel提供的一个虚拟文件系统，用于导出一些信息到用户空间中。我们可以在/sys/firmware/efi/vars/目录下找到这些变量。
举例来讲，我们可以通过下面命令查询最后一个启动项

$ hexdump -C /sys/firmware/efi/vars/Boot0007-*/data

3 关于Secure Boot

3.1 背景

UEFI secure boot是一种用来限制可以启动系统的二进制文件的方法。固件会只执行那些已知签署者的boot loader。在Secure boot X.509认证的上文中被标识的条目。

如今大部分的消费PC硬件都默认启用secure boot用来加载windows 8系统，因此这些固件就只认可微软签名boot loader。如果没有重新配置签名者列表也没有禁用secure boot，其他的bootloader就必须经过微软的签名。

3.2 openSUSE12.3中的实现

openSUSE 12.3在UEFI系统中的默认采用的bootloader是grub2.当处于secure boot模式时，还需要再额外使用一个名字叫”shim.efi”的boot loader，这时候固件会首先调用shim而不是grub2。shim才有微软的微软的认证以便固件能够辨认。而shim会辨认opensuse认证，这些认证用来签名grub2以及由grub2所引导的kernel。在Linux kernel加载之后，secure boot的scope便结束了。

为了像定制boot loader一样定制kernel，shim提供了一种方法去导入定制的签名。“MokManager”程序就是用于此目的的。当使用shim去装载一个没有被已知签署者（“well known entity”）签名的二进制文件时，它调用MokManager, MokManager会允许将一个认证导入已知签署者数据库。

3.2.1 如何启用/禁用Secure boot启动

在opensuse 12.3中，secure boot的支持仍然是作为专家项的，YaST安装程序不会启动探测secure boot是否启用。在安装过程中会提供一个选项供用户手动启动Secure Boot支持。开启该选项就需要安装shim.efi.在一个已经安装好的系统中启用/禁用secure boot，需要用到YaST的bootload模块。

3.2.2 如何判断系统是否启动/禁用secure boot

可以在Linux shell中，以root权限运行下列命令：

od -An -t u1 /sys/firmware/efi/vars/SecureBoot-8be4df61-93ca-11d2-aa0d-00e098032b8c/data

如果返回1则表明secure boot启用。不过有一些固件版本因为一些问题会在启用的情况下也返回0

3.2.3 启动一个定制的kernel

Secure Boot不会禁止你使用自己编译的kernel，不过你需要为他加上一个自己的签名并确保这个签名可以被firmware或者MOK知道。

  • 创建一个定制的 X.509 key并使用它做签名认证
    openssl req -new -x509 -newkey rsa:2048 -sha256 -keyout key.asc -out cert.pem -nodes -days 666 -subj "/CN=$USER/"
  • 将key打包为PKCS#12结构
    openssl pkcs12 -export -inkey key.asc -in cert.pem -name kernel_cert -out cert.p12
  • 产生一个pesign使用的NSS数据库
    certutil -d . -N
  • 将key和包含认证的PKCS#12导入数据库
    pk12util -d . -i cert.p12
  • 签署kernel
    pesign -n . -c kernel_cert -i arch/x86/boot/bzImage -o vmlinuz.signed -s
  • 列出kernel image中的签名
    pesign -n . -S -i vmlinuz.signed

之后可以将kernel安装在/boot目录下。现在kernel已经有了一个定制签名，下一步就是将签名导入固件或者MOK

  • 将认证转换为DER格式用于导入到UEFI固件或者MOK
    openssl x509 -in cert.pem -outform der -out cert.der
  • 将认证copy到ESP以便访问
    sudo cp cert.der /boot/efi

由于opensuse 12.3中的mokutils是broken的，因此没有很便捷的方式自动launch MOK。下列过程描述了手动launch MOK的方法：

reboot
在grub菜单中键入c键
输入（假定ESP是hd上的gpt1）


chainloader (hd0,gpt1)/EFI/opensuse/MokManager.efi
boot

选择"Enroll key from disk"
指向cert.der文件然后enter
接下来就是enroll key的过程。按提示按'0'或者'y'来确认。

另外还有一些固件可以提供方法将新的key写入db

3.2.4 不是用vender提供的key启动机器

如果固件菜单提供选项，可以重置secure boot提供的key，你也可以自己安装新PK、KEK或者db而不需要微软的keys。将/usr/lib64/efi/shim-opensuse.der导入db使得opensuse内核启动就属于这种情况。
opensuse默认提供的shim是经微软和opensuse双签名的。有些固件版本可能不支持双签名。这种情况下可以安装/usr/lib64/efi/shim-opensuse.efi这个只有opensuse签名的efi文件来作为/boot/efi/EFI/opensuse/shum.efi.

3.3 词汇表

  • PK
    Platform Key。指硬件发布商提供的认证。如果要修改KEK就需要一个有效的PK
  • KEK
    Key Exchange Key. 更新签名数据库的时候需要
  • db
    签名数据库。包含了所有已知的二进制认证、签名及hash，只有能够被数据库验证的二进制文件才能被固件执行。一个有效的KEK签名需要更新签名数据库。
  • dbx
    相对于db,是禁止签名的数据库，也就是认证、签名和hash的黑名单。如果由二进制匹配这里的内容，就不会被固件执行，一个有效的KEK签名也需要更新Forbidden Signature Database.
  • MOK
    机器拥有者的key。由MokManager所使用的一个额外的认证数据库。MokManager可以使用户在启动阶段交互式的以更新MOKs。
renajia
关注
专栏目录
入门UEFI
大猫的博客
03-23 1876
UEFI基础学习，入门资料。
BIOS和UEFI简介及启动光盘制作：系统运维
GnzhNetwork的博客
10-07 248
通过这些工具，您可以创建适用于BIOS或UEFI的启动光盘，并根据需要选择合适的源代码进行操作系统的安装和系统维护。要制作使用UEFI启动的光盘，可以使用工具如Rufus、Etcher（https://www.balena.io/etcher/）或dd命令（适用于Linux和macOS）。对于制作启动光盘，可以使用一些专门的工具，如Rufus（https://rufus.ie/）或UNetbootin（https://unetbootin.github.io/）。BIOS是一种老旧但广泛使用的固件接口。
UEFI架构
Charles' home
06-09 5613
UEFI架构 UEFI提供系统化的标准方法，加载驱动并管理他们之间的交互。 前言：感谢uefi blog UEFI 提供了一个标准接口，以便在硬件发生变更时固件能提供足够信息而保证操作系统不受影响。它包含有芯片组和外设芯片驱动程序，并通过系统表提供引导时服务和运行时服务。 图一中展示了依赖于UEFI所提供的服务来工作的操作系统装载器（即 EFI OS Loader） 是如何启动操作系统内核...
一文搞懂UEFI
最新发布
叫好与叫座虽然不是对立面，但想在同一个作品中达到双重效果很难。
09-22 1647
UEFI是什么：概念UFEI用来干什么：应用UEFI有些什么东西：架构UEFI重点场景：启动UEFI学习资料：推荐通过这几个部分，咱们能一起搭建起一个关于UEFI简要知识框架。那么以后对哪些方面感兴趣，让我知道，咱们再一起学习一下，去继续丰富关于UEFI。话不多说，上菜！
UEFI 概述
newbeixue的博客
12-28 2101
https://www.jianshu.com/p/73ee37f6b3b9 UEFI 定义了操作系统和平台固件之间的借口，它是 UEFI Forum 发布的一种标准。 UEFI 提供给操作系统的借口包括启动服务（BS）和运行时服务（RT）以及隐藏在 BS 之后丰富的 Protocol。 启动服务：主要服务对象是操作系统加载器以及其他 UEFI 应用程序和 UEFI 驱动。操作系统加载器通过启动服...
关于UEFI的一点简介
weixin_45003088的博客
03-20 289
UEFI简介 首先得从BIOS说起，大家都知道电脑中有一个BIOS设置，它主要负责开机时检测硬件功能和引导操作系统启动的功能。而UEFI则是用于操作系统自动从预启动的操作环境，加载到一种操作系统上从而节省开机时间。 BIOS启动与UEFI启动流程对比： UEFI启动是一种新的主板引导项，它被看做是bios的继任者。uefi最主要的特点是图形界面，更利于用户对象图形化的操作选择。 如今...
UEFI简介：2017春季研讨会与插件测试
"UEFI_What is it - Spring 2017 UEFI Seminar and Plugfest - Presented by Dong Wei (ARM)" UEFI（统一可扩展固件接口）是计算机硬件和操作系统之间的一个中间层，负责引导操作系统并执行开机自检（POST）等基本...
《UEFI内核导读》 Platform Environment Control Interface（PECI）简介.pdf
11-05
《UEFI内核导读》——Platform Environment Control Interface (PECI) 简介 PECI，全称为Platform Environment Control Interface，是由Intel设计的一种接口，旨在为Intel处理器提供精确的温度监控、功耗管理和状态...
UEFI命令.docx
06-25
#### 一、UEFI简介 **UEFI（Unified Extensible Firmware Interface）**，即统一可扩展固件接口，是一种新型的计算机固件接口标准，被视为传统BIOS（Basic Input/Output System）的继任者。UEFI的主要特点包括： -...
shim:UEFI 垫片加载器
08-05
shim，第一阶段 UEFI 引导加载程序 shim 是一个简单的 EFI 应用程序，它在运行时会尝试打开并执行另一个应用程序。 它最初将尝试通过标准 EFI LoadImage()和StartImage()调用来执行此操作。 如果这些失败（例如，因为启用了安全启动并且二进制文件未使用适当的密钥签名），它将根据内置证书验证二进制文件。 如果这成功并且二进制或签名密钥没有被禁止，那么 shim 将重新定位并执行二进制。 shim 还将安装一个协议，允许第二阶段引导加载程序执行类似的二进制验证。 该协议具有 shim.h 头文件中所述的 GUID，并提供单个入口点。 在 64 位系统上，此入口点期望使用 SysV ABI 而不是 MSABI 调用，因此不应包装对它的调用。 在系统固件启用并支持 TPM 芯片的系统上，shim 将使用它正在加载的目标的摘要扩展各种 PCR。 完整列表在文件。
用于PXE引导UEFI的文件shim.efi
01-15
用于PXE引导UEFI的文件shim.efi
技嘉z68p-ds3bios刷uefi工具和教程.rar
04-27
【BIOS与UEFI简介】 BIOS（Basic Input/Output System）是计算机系统中的一个核心组件，负责在启动过程中初始化硬件设备并加载操作系统。而UEFI（统一可扩展固件接口）是现代计算机中替代传统BIOS的新型固件接口...
关于UEFI
ouyangsheng_的博客
09-22 2241
什么是UEFI简单来讲，是在硬件及操作系统之间的接口，如下图： UEFI的优点 开发效率高 采用C/C++语言编写 软件分层结 可扩展性 以module的形式，如Driver的模型 驱动、表、protocol有版本控制 性能 提供的异步操作，event事件，减少CPU等待时间 舍弃了中断这种耗时的操作 启动时可仅仅遍历启动所需设备 安全 在执行应用及驱动前会检测程序和驱动的证书 UEFI
UEFI基本概念
安卓 高通 bsp ，同行欢迎交流
12-20 3307
UEFI和之前的BIOS作用一样，只不过更先进了。一般我们自己装系统都会进BIOS，开机按F12等等，然后设置启动路径为U盘，用U盘装系统，不过现在windows支持在线更新系统了，估计U盘启动以后不需要再学了。BIOS “Basic Input Output System” “基本输入输出系统”。BIOS是启动时加载的第一个软件。是固化到计算机内主板上一个ROM芯片上的程序，比如我们安了内存条，固态，开机自检就是BIOS负责的。明确记住，BIOS也是一个程序，一个软件，只不过能和硬件直接交互。
uefi
RK766453的博客
03-17 451
uefi 安装盘启动 进到安装界面以后按Shift+F10打开一个命令行窗口 如果你的EFI分区还在 只是被破坏需要修复的话，执行bcdboot c:\windows /l 即可，c是Windows安装的盘符，不是的话自己改下 如果没有EFI分区 执行以下命令 diskpart list disk select disk * (选择你要重建EFI分区的盘的编号，以数字代替*) ...
UEFI介绍
hopbox的博客
07-26 427
openSUSE:UEFI Jump to: navigation, search About UEFI Introduction to the standard https://en.opensuse.org/openSUSE:UEFIUEFI (Unified Extensible Firmware Interface) is an industry standard that specifies the different interfaces that a system must provide i
UEFI 详解
lxm920714的专栏
11-20 5170
UEFI 是什么？ UEFI - Unified Extensible Firmware Interface 统一可扩展固件接口 从规范的角度来看，它是一个规范，定义了计算机操作系统和平台固件之间的接口规范. 从实体的角度来讲，BIOS 和 UEFI 是两种不同类型的计算机固件（什么是固件？就是固化在计算机主板上某个非易失存储区（EEPROM）中的小系统），计算机启动都是先启动它，然后加载...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值