aktuelle Golden Key Version schaltet Secure Boot ein

[merkur1964]

Ist hier jemand als Service Techniker unterwegs und muß die aktuelle Golden Key Version nutzen? Ich suche nach einer Einstellung in den Scripts, wodurch das einschalten von Secure Boot im UEFI bei aktuellen Thinkpads veranlasst wird.

Problem dabei ist, erst schaltet man Secureboot aus, weil der Golden Key Stick kein Zertifikat hat, dann schaltet der Gelden Key Stick es beim ersten Boot wieder ein und startet neu, und dann muß man noch mal ins UEFI um Secure Boot abzuschalten, weil ansonsten der Gelden Key USB-Stick nicht gebootet werden kann.

Also hat hier jemand ne Idee wo man suchen müßte? Ist seit Version .72 der Fall falls das von Interesse ist.

 

[ubu]

Was ist "Golden Key"?

 

[Mornsgrans]

Vermutlich das hier:

Tegra Jailbreak USB | Windows RT Devices GitBook

All-in-on jailbreak package for Tegra based Windows RT tablets

windows-rt-devices.gitbook.io

 

[KNARZ]

Vermutlich das hier:

Tegra Jailbreak USB | Windows RT Devices GitBook

All-in-on jailbreak package for Tegra based Windows RT tablets

windows-rt-devices.gitbook.io

Bevor wir hier auf die falsche Fährte gehen: Nein das ist nicht gemeint und ausschließlich für ARM / RT Geräte gewesen.
Aber in der Tat ist das Naming hier super verwirrend weil identische Begrifflichkeiten.

Hier ist U1 aka Golden Key aka Service Stick eines Lenovo Technikers gemeint.

Die Annahmen die der TE trifft sind meines Wissens alle falsch, daher meine Frage woher hast du diese Information / Erkenntnis das dem so ist wie du beschreibst? Ich weiß jetzt nicht genau welche Version mein letzter Kenntnisstand ist, aber im allgemein Funktioniert das alles etwas anders

 

[merkur1964]

Hier ist U1 aka Golden Key aka Service Stick eines Lenovo Technikers gemeint.

Genau, ich dachte das wäre aus "Ist hier jemand als Service Techniker unterwegs" ersichtlich.

Die Annahmen die der TE trifft sind meines Wissens alle falsch, daher meine Frage woher hast du diese Information / Erkenntnis das dem so ist wie du beschreibst? Ich weiß jetzt nicht genau welche Version mein letzter Kenntnisstand ist, aber im allgemein Funktioniert das alles etwas anders

Mit der aktuellen Version funktioniert es genauso wie oben beschrieben. Gemeint ist hier die Version 3.5.73. Der Stick hat keine Zertifikate für Secure Boot wie z.B. Windows und aktuelle Linuxversionen, also muß man Secure Boot im Bios abschalten damit man von dem Stick überhaupt booten kann. Was man ja will, wenn man die Modellnummer, Typenummer und Seriennummer eingeben will.

Und seit der Version 3.5.72 oder 3.5.71 macht der Stick halt beim ersten booten, wenn das U1 Tool aufgerufen wird, sowas wie ein F9 im BIOS also alles auf Factory Default. Und damit ist auch Secure Boot eingeschaltet. Und damit muß man beim erneuten booten, weil nach dem F9 Vorgang sofort ein Neustart veranlasst wird, erst wieder ins BIOS und Secure Boot abschalten. Da soll wohl noch mal was geändert werden, aber das wann steht in den Sternen.

Und es sind keine Annahmen die ich mache, sondern Fakten die ich jeden Tag mehrfach vor Augen geführt bekomme.

 

[KNARZ]

Du hast recht... ich war etwas abgelenkt davon dass das Tool für ThinkPad sehr wohl gesigned ist. Aber die bootx64.efi die von U1 läuft nicht. Das stimmt und habe ich in der Tat verdrängt. Mit MU ist ziemlich sicher Maintenance Utility gemeint, sprich das Tool was wir alle kennen.

Wenn du mir die MU 1.21 schickst kann ich mir die mal genauer anschauen. Ich bin schon auf .73 und ob ich ein Backup von der Version habe weiß ich leider nicht.


Was ich gefunden habe:

    Golden Key U1:
    ----------------------------------
      Release Version   3.5.73
      Release Date      2025-01-22

    [New functions or enhancements]
      **support all new ThinkPad products

      * Rolled integrated MU version from latest v1.21 to v1.20.
 
    [Problem fixes]
      * MU v1.21 adds the new feature to automatically enable the Secure boot after VPD process, and then disable Secure boot on BIOS Setup triggers BIOS error: "Formset Security error-Failed to save storage" on L14/L15 Gen2.

Du meinst alles in allem aber damit das der Techniker schon manuell ins Bios gehen muss um dann die Sachen abzuschalten oder dass das wirklich der Stick macht? Weil das kann in der Form eigentlich nicht sein. Außer das ist im Bios beim erkennen des Sticks so hinterlegt.
Dass sich das Gerät mit dem Stick an ein paar Stellen anders verhält hat nichts mit den Dateien auf dem Stick selbst zu tun.

 

[merkur1964]

Also uns hat man mitgeteilt das die 3.5.72 oder 3.5.73 notwendig ist um den Fehler der unter "Problem Fixes" erwähnt ist zu vermeiden. Dadurch würde man das MB wohl schrotten.

Nein, man muß nicht manuell ins Bios gehen. Man muß das nur tun wenn das gelieferte MB Secure Boot aktiviert hatte. Dann muß ich es ausschalten um vom Stick booten zu können. Und wenn der Stick dann gebootet ist, kommt ein Hinweis, dessen Wortlaut mir gerade nicht einfällt, und es wird ein Neustart gemacht. Nach dem Neustart ist Secure Boot wieder aktiviert und man muß ins BIOS um es abzuschalten damit man vom Stick booten kann.

Was meinst du mit anders verhält?

 

[KNARZ]

Um es mal in den Worten von Lenovo zu sagen "device always boots from U1 USB stick instead of SSD" ist unter anderem ein "anderes" bzw. besonderes Verhalten.

Ich hab mal vorhin etwas geschaut. Also so wie du das beschreibst kann ich das nicht nachvollziehen für mich. Weil es wird ja die EDK2 Shell gestartet, dann Startup.nsh. Darin die Programme zum Checken des Devices und dann je nach Info werden Variablen gesetzt und dann kommt das Menu. Diese würde also bei Verwendung von U1 erst funktionieren wenn Secure Boot aus ist.

Anders würde es aussehen wenn man nur die MU in den Efi\boot Ordner legen würde. (da signiert)

Der SecureBoot Eintrag der "neu" hinzugekommen ist befindet sich aber in der MU selbst bzw. ist SRSETUP für Backup und Restore der Bios Config. Man findet das Tool auch normal bei Lenovo. Nur die Efi Variante war (für mich damals) irgendwie schwieriger zu finden. Die Datei enthält Parameter wie /SECUREBOOT und das würde der Planar Service dann am Ende (bin mir der Annahme ziemlich sicher) ausführen. Die MU Efi ist halt ne Sammlung von verschiedenen Tools und SRSETUP wurde in der Version (wieder? nach langer Zeit?) hinzugefügt.

Etwas andere Frage: Zugriff auf PD-Guide?