Unified Extensible Firmware Interface/セキュアブート - 版の履歴

ELC: /* インストールメディアを起動する */ リンク修正

2026-03-12T02:53:22Z

インストールメディアを起動する: リンク修正

← 古い版		2026年3月12日 (木) 11:53時点における版
66行目:		66行目:
	インストールメディアをセキュアブートのシステムでブートするには、セキュアブートを無効化するか、イメージを変更して署名されたブートローダを追加する必要があります。		インストールメディアをセキュアブートのシステムでブートするには、セキュアブートを無効化するか、イメージを変更して署名されたブートローダを追加する必要があります。

	[https://~~gitlab~~.~~archlinux.org/tpowa/archboot/-/wikis~~/~~Archboot-Homepage~~ Archboot] イメージはインストールメディアでセキュアブートを使用する手段を提供します。		[https://archboot.com/ Archboot] イメージはインストールメディアでセキュアブートを使用する手段を提供します。

	=== セキュアブートを無効化する ===		=== セキュアブートを無効化する ===

ELC: TranslationStatus

2026-03-12T02:04:33Z

TranslationStatus

← 古い版		2026年3月12日 (木) 11:04時点における版
1,047行目:		1,047行目:
	* {{AUR\|cryptboot}} ツールは、(セキュアブートのための) プロセス全体を簡略化し、簡単に使えるようにします。		* {{AUR\|cryptboot}} ツールは、(セキュアブートのための) プロセス全体を簡略化し、簡単に使えるようにします。

	{{TranslationStatus\|Unified Extensible Firmware Interface/Secure Boot\|~~2025~~-10-29\|~~850808~~}}		{{TranslationStatus\|Unified Extensible Firmware Interface/Secure Boot\|2026-03-12\|862815}}

ELC: 重複リンク削除

2026-03-12T02:00:47Z

重複リンク削除

← 古い版		2026年3月12日 (木) 11:00時点における版
5行目:		5行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|Arch ブートプロセス}}		{{Related\|Arch ブートプロセス}}
	{{Related\|Unified Extensible Firmware Interface}}
	{{Related\|セキュリティ}}		{{Related\|セキュリティ}}
	{{Related articles end}}		{{Related articles end}}

ELC: /* shim で鍵を使う */ kernel-sbsign スクリプトを簡略化

2026-03-12T01:50:03Z

shim で鍵を使う: kernel-sbsign スクリプトを簡略化

← 古い版		2026年3月12日 (木) 10:50時点における版
780行目:		780行目:
	[[ ! -f "$KERNELDESTINATION" ]] \|\| kernel="$KERNELDESTINATION"</nowiki>		[[ ! -f "$KERNELDESTINATION" ]] \|\| kernel="$KERNELDESTINATION"</nowiki>

	~~keypairs~~=(''/path/to/''MOK.key ~~''/path/to/''MOK.crt)~~		key=''/path/to/''MOK.key
			cert=''/path/to/''MOK.crt

		⚫	if ! sbverify --cert "$cert" "$kernel" &>/dev/null; then
	for (( i=0; i<${#keypairs[@]}; i+=2 )); do
	key="$~~{keypairs[$i]}~~" cert="$~~{keypairs[((~~ i ~~+ 1 ))]}~~"		sbsign "$kernel" --key "$key" --cert "$cert" --output "$kernel"
		⚫	fi}}
⚫	if ! sbverify --cert "$cert" "$kernel" &>/dev/null; then
	sbsign --key "$key" --cert "$cert" --output "$kernel" "$kernel"
	fi
	done
⚫	}}

	{{ic\|MOK.cer}} を FAT でフォーマットされたファイルシステムにコピーしてください ([[EFI システムパーティション]] を使うことができます)。		{{ic\|MOK.cer}} を FAT でフォーマットされたファイルシステムにコピーしてください ([[EFI システムパーティション]] を使うことができます)。

ELC: /* mkinitcpio のポストフックでカーネルに署名する */ kernel-sbsign スクリプトを簡略化

2026-03-12T01:48:01Z

mkinitcpio のポストフックでカーネルに署名する: kernel-sbsign スクリプトを簡略化

← 古い版		2026年3月12日 (木) 10:48時点における版
519行目:		519行目:
	[[ ! -f "$KERNELDESTINATION" ]] \|\| kernel="$KERNELDESTINATION"</nowiki>		[[ ! -f "$KERNELDESTINATION" ]] \|\| kernel="$KERNELDESTINATION"</nowiki>

	~~keypairs~~=(''/path/to/''db.key ~~''/path/to/''db.crt)~~		key=''/path/to/''db.key
			cert=''/path/to/''db.crt

		⚫	if ! sbverify --cert "$cert" "$kernel" &>/dev/null; then
	for (( i=0; i<${#keypairs[@]}; i+=2 )); do
	key="$~~{keypairs[$i]}~~" cert="$~~{keypairs[((~~ i ~~+ 1 ))]}~~"		sbsign "$kernel" --key "$key" --cert "$cert" --output "$kernel"
		⚫	fi}}
⚫	if ! sbverify --cert "$cert" "$kernel" &>/dev/null; then
	sbsign --key "$key" --cert "$cert" --output "$kernel" "$kernel"
	fi
	done
⚫	}}

	{{ic\|''/path/to/''db.key}} と {{ic\|''/path/to/''db.crt}} の部分は、カーネルの署名に使用するキーペアへのパスに置き換えてください。		{{ic\|''/path/to/''db.key}} と {{ic\|''/path/to/''db.crt}} の部分は、カーネルの署名に使用するキーペアへのパスに置き換えてください。

ELC: /* 公式の ISO をカスタムの鍵で署名する */ AURからgsaiを追加

2026-03-12T01:13:55Z

公式の ISO をカスタムの鍵で署名する: AURからgsaiを追加

← 古い版		2026年3月12日 (木) 10:13時点における版
849行目:		849行目:
	==== 公式の ISO をカスタムの鍵で署名する ====		==== 公式の ISO をカスタムの鍵で署名する ====

	ブートローダー ({{ic\|BOOTx64.EFI}} と {{ic\|BOOTIA32.EFI}})、カーネル、UEFI シェルを ISO から抽出し、それらを署名し、署名済みファイルを ISO に再パックすることで、カスタムの鍵で公式の ISO にセキュアブートサポートを追加できます。		ブートローダー ({{ic\|BOOTx64.EFI}} と {{ic\|BOOTIA32.EFI}})、カーネル、UEFI シェルを ISO から抽出し、それらを署名し、署名済みファイルを ISO に再パックすることで、カスタムの鍵で公式の ISO にセキュアブートサポートを追加できます。以下の手順に従うか、自動化された代替手段として {{AUR\|gsai-git}} を使用してください。

	まず、関連するファイルと El Torito ブートイメージを抽出してください:		まず、関連するファイルと El Torito ブートイメージを抽出してください:

ELC: /* OpROM 署名を特定する */ 追加

2026-03-12T01:03:22Z

OpROM 署名を特定する: 追加

← 古い版		2026年3月12日 (木) 10:03時点における版
127行目:		127行目:

	Secure Boot を "User Mode" にすると、上位の鍵を使用してアップデートに署名しないかぎり鍵を更新できなくなります (''sign-efi-sig-list'' を使用)。Platform key は自分自身で署名することができます。		Secure Boot を "User Mode" にすると、上位の鍵を使用してアップデートに署名しないかぎり鍵を更新できなくなります (''sign-efi-sig-list'' を使用)。Platform key は自分自身で署名することができます。

			==== OpROM 署名を特定する ====

			署名された OpROM があるかどうかを確認するには、次の手順に従います。

			OpROM を搭載したすべてのデバイスを一覧表示します:

			{{hc\|$ find /sys/devices/ -name rom\|
			/sys/devices/pci0000:80/0000:80:01.0/0000:81:00.0/rom
			...
			}}

			これは、署名付き EFI ROM を搭載した Intel DC SSD の例です。デバイスごとに以下の手順を繰り返してください。

			{{hc\|$ lspci -s 81:00.0\|
			81:00.0 Non-Volatile memory controller: Intel Corporation PCIe Data Center SSD (rev 01)
			}}

			ROM をダンプします:

			# echo 1 > /sys/devices/pci0000:80/0000:80:01.0/0000:81:00.0/rom
			# cat /sys/devices/pci0000:80/0000:80:01.0/0000:81:00.0/rom > ~/intel_ssd.rom
			# echo 0 > /sys/devices/pci0000:80/0000:80:01.0/0000:81:00.0/rom

			TianoCore の [https://github.com/tianocore/edk2.git EDK II ツール] 取得してコンパイルします:

			$ make -C BaseTools

			ROM ファイルを解析します:

			{{hc\|$ ./BaseTools/Source/C/bin/EfiRom -d ~/intel_ssd.rom\|
			Image 1 -- Offset 0x0
			ROM header contents
			Signature 0xAA55
			PCIR offset 0x001C
			Signature PCIR
			Vendor ID 0x8086
			Device ID 0x0953
			Length 0x001C
			Revision 0x0003
			DeviceListOffset 0x00
			Class Code 0x000000
			Image size 0x6A00
			Code revision: 0x0000
			MaxRuntimeImageLength 0x00
			ConfigUtilityCodeHeaderOffset 0x00
			DMTFCLPEntryPointOffset 0x00
			Indicator 0x80 (last image)
			Code type 0x03 (EFI image)
			EFI ROM header contents
			EFI Signature 0x0EF1
			Compression Type 0x0001 (compressed)
			Machine type 0x8664 (X64)
			Subsystem 0x000B (EFI boot service driver)
			EFI image offset 0x0038 (@0x38)
			}}

			これはこの OpROM に、オフセット 0x0 のイメージ 1 の、オフセット 0x0038 に圧縮された EFI イメージがあることを示します。

			EFI セクションを取得します:

			$ dd if=intel_ssd.rom ibs=1 skip=$(( 0x00 + 0x38 )) of=intel_ssd.rom.efi.compressed

			バイナリイメージを解凍します:

			$ ./BaseTools/Source/C/bin/TianoCompress -d --uefi -v ~/intel_ssd.rom.efi.compressed -o ~/intel_ssd.rom.efi

			{{hc\|$ file ../intel_ssd.rom.efi\|
			../intel_ssd.rom.efi: PE32+ executable for EFI (boot service driver), x86-64, 6 sections
			}}

			{{Pkg\|sbsigntools}} で署名を調べると、Microsoft の DB 証明書で署名されていることがわかります:

			{{hc\|$ sbverify --list ~/intel_ssd.rom.efi\|2=
			signature 1
			image signature issuers:
			- /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011
			image signature certificates:
			- subject: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/OU=MOPR/CN=Microsoft Windows UEFI Driver Publisher
			issuer: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011
			- subject: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation UEFI CA 2011
			issuer: /C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=Microsoft Corporation Third Party Marketplace Root
			}}

			{{Warning\|デバイスの文鎮化を回避するために、署名された ROM を搭載したグラフィックカードを使用している場合は、独自のキーを登録した後、セキュアブート DB に必要な発行者が保持されていることを確認してください。}}

	==== 現在の変数をバックアップする ====		==== 現在の変数をバックアップする ====

ELC: /* GRUB で sbctl を使う */ 追加

2026-03-12T00:44:34Z

GRUB で sbctl を使う: 追加

← 古い版		2026年3月12日 (木) 09:44時点における版
182行目:		182行目:

	使用するには {{Pkg\|sbctl}} を[[インストール]]してください。[https://github.com/Foxboron/sbctl#sbctl---secure-boot-manager upstream README] と {{man\|8\|sbctl}} も参照してください。		使用するには {{Pkg\|sbctl}} を[[インストール]]してください。[https://github.com/Foxboron/sbctl#sbctl---secure-boot-manager upstream README] と {{man\|8\|sbctl}} も参照してください。

			===== GRUB で sbctl を使う =====

			[[GRUB#セキュアブートサポート]] を見てください。

	===== キーを作成・登録する =====		===== キーを作成・登録する =====

ELC: ハンガリー語ページへのリンク

2025-10-29T12:47:08Z

ハンガリー語ページへのリンク

← 古い版		2025年10月29日 (水) 21:47時点における版
1行目:		1行目:
	[[Category:ブートプロセス]]		[[Category:ブートプロセス]]
	[[en:Unified Extensible Firmware Interface/Secure Boot]]		[[en:Unified Extensible Firmware Interface/Secure Boot]]
			[[hu:Unified Extensible Firmware Interface (Magyar)/Secure Boot]]
	[[zh-hans:Unified Extensible Firmware Interface (简体中文)/Secure Boot]]		[[zh-hans:Unified Extensible Firmware Interface (简体中文)/Secure Boot]]
	{{Related articles start}}		{{Related articles start}}

ELC: TranslationStatus

2025-10-29T08:51:23Z

TranslationStatus

← 古い版		2025年10月29日 (水) 17:51時点における版
964行目:		964行目:
	* {{AUR\|cryptboot}} ツールは、(セキュアブートのための) プロセス全体を簡略化し、簡単に使えるようにします。		* {{AUR\|cryptboot}} ツールは、(セキュアブートのための) プロセス全体を簡略化し、簡単に使えるようにします。

	{{TranslationStatus\|Unified Extensible Firmware Interface/Secure Boot\|~~2024~~-03-28\|~~804762~~}}		{{TranslationStatus\|Unified Extensible Firmware Interface/Secure Boot\|2025-10-29\|850808}}