Linux Frage zur Erstellung/Nutzung von Secure Boot USB Sticks

[TheGrey]

Ich brauche mal einen Rat von Linux /GRUB Experten, nachdem ich mit "googlen" keine eindeutige Antworten finden konnte.

Vorhanden sind etliche Windows-Notebooks, deren UEFI-BIOS derzeit nur das booten von UEFI Bootmedien zulassen. Zur nachträglichen Partitionierung wird GParted von einem UEFI GRUB USB Stick verwendet (per YUMI-UEFI) erstellt. Damit kommen wir soweit klar. Jetzt soll allerdings mit dem nächsten Update Secure Boot aktiviert werden. Die bisherige USB Boot Lösung funktioniert dann nicht mehr.

Ich habe nun einige Beiträge über GummiBoot und Shim gelesen aber irgendwie scheint man dabei immer irgendwelche Keys ins EFI importieren zu müssen. Ist damit das (U)EFI vom Notebook gemeint? Oder der EFI Ordner auf dem USB Bootmedium?

In der UEFI (BIOS) Umgebung werde ich keine Änderungen vornehmen können, das ist mit einem PW gesichert.

Meine Befürchtung bisher: Linux-basierte USB Sticks können nicht mehr zum Booten an den Geräten genutzt werden. Oder gibt es noch eine Lösung?

 

[reddevil156]

Bin zwar kein Linux oder Grub Experte, aber eine Idee hätte ich trotzdem für dich.

Die meisten Linux-Distributionen sind schon UEFI-Boot fähig. Den Shim setzt man eher dazu ein, ein bestimmtes System mit Secure-Boot abzusichern, damit man informiert wird, wenn etwas in den Boot-Vorgang eingegriffen hat.
Auch die ISO von GParted bootet problemlos mit UEFI und aktiviertem Secure Boot. Da allerdings YUMI-Boot vorgeschaltet ist, wird dieses höchstwahrscheinlich kein Secure Boot unterstützen und damit startet dein Stick auch nicht.

Folgende Möglichkeiten fallen mir hier ein:
1. Externes DVD Laufwerk per USB und gebrannter GParted ISO
2. Ventoy anstatt YUMI-Boot versuchen, das soll Secure-Boot können, aber habe ich nicht ausprobiert, also ohne Gewähr
3. Es gibt Festplattengehäuse, bei denen man einfach ISO Dateien drauf packen kann und diese dann mounten. Ist im Prinzip wie ein externes Laufwerk, allerdings kann man sich aussuchen was als DVD eingelegt ist. Nennt sich IODD (2531 und 2541), jeweils als externes Gehäuse für SSD/Festplatte oder IODD Mini mit m.2 SSD bereits drin.
Ich verzichte jetzt hier mal auf den Link, gibts aber bspw. beim großen "A". Nutze ich schon Ewigkeiten, hab damit im Prinzip immer alles dabei. Sogar ein Firmware-Update als ISO geht davon.

 

[Korfox]

Naja. Im Zweifel müsste es gehen, eine Distribution zu nutzen, deren First-Stage-Bootloader von Microsoft signiert ist und die gparted mitbringt. Meines Erachtens ist Ubuntu da ein Kandidat.
Ist zwar ein völliger overkill, sollte aber ohne große Verrenkungen funktionieren.

 

[TheGrey]

Danke schonmal für die Vorschläge

Auch die ISO von GParted bootet problemlos mit UEFI und aktiviertem Secure Boot.

Folgende Möglichkeiten fallen mir hier ein:
1. Externes DVD Laufwerk per USB und gebrannter GParted ISO
2. Ventoy anstatt YUMI-Boot versuchen, das soll Secure-Boot können, aber habe ich nicht ausprobiert, also ohne Gewähr
3. Es gibt Festplattengehäuse, bei denen man einfach ISO Dateien drauf packen kann und diese dann mounten. Ist im Prinzip wie ein externes Laufwerk, allerdings kann man sich aussuchen was als DVD eingelegt ist. Nennt sich IODD (2531 und 2541), jeweils als externes Gehäuse für SSD/Festplatte oder IODD Mini mit m.2 SSD bereits drin.

Ja, von YUMI werde ich mich sicherlich verabschieden müssen. Die GParted Webseite sagt, Secure Boot muß man deaktivieren. Ich werde es aber mal testen. Die Lösung von Ventoy sieht für mich wieder so aus, als müsse man Keys (die nennen das "Enroll MOKs") importieren, was sicherlich über die Einstellungen geblockt sein wird.
Das IODD Ding habe ich mir tatsächlich vor 2 Jahren mal "angesehen" bzw. darüber gelesen. Vielleicht eine Möglichkeit, über die man nachdenken kann aber das kann ich auch nicht für jeden Nutzer beschaffen, wäre zu teuer und HW-Overkill, wenn man nur 2-3 ISOs booten muß

Naja. Im Zweifel müsste es gehen, eine Distribution zu nutzen, deren First-Stage-Bootloader von Microsoft signiert ist und die gparted mitbringt. Meines Erachtens ist Ubuntu da ein Kandidat.
Ist zwar ein völliger overkill, sollte aber ohne große Verrenkungen funktionieren.

Das werde ich auch ausprobieren. Klingt vielversprechend. Wenn man diesen FirstStage Loader VOR den GRUB setzen könnte, wärs ideal
Aber ich nehm auch einen Ubuntu Live Stick, den könnte man dann ja sogar relativ einfach aktualisieren und danach wieder clonen.

Habe mir heute auch ein paar Preise für kommerzielle Windows Partitionsprogramme (WinPE fähig) angesehen aber der Prozess zur Beschaffung von Kaufsoftware ist bei uns extrem schwierig (weil unerwünscht)