Greg Kroah-Hartman, Maintainer der stabilen Linux-Kernel, hat eine Anleitung veröffentlicht, wie man einen selbst signierten Kernel unter UEFI Secure Boot startet.
Dabei wählt er ein Verfahren ohne Bootloader: Der Linux-Kernel lässt sich als EFI-Binary kompilieren und direkt vom UEFI des Rechners starten. Dafür sind einige Konfigurationsoptionen beim Übersetzen des Linux-Kerns erforderlich.
Um den Kernel zu starten, deaktiviert Kroah-Hartman im ersten Anlauf Secure Boot und testet, ob das Binary bootet. Anschließend setzt er das UEFI-Keytool-USB-Image von James Bottomley ein, um die auf dem Computer vorinstallierten Schlüssel zu sichern und sie anschließend von der Maschine zu löschen. Danach erzeugt er mit Open SSL eigene Schlüssel und installiert sie mit Hilfe der Softwarepakete Sbsigntool und Efitools. Schließlich signiert er den selbst gebauten Kernel und bootet ihn erfolgreich.
Greg Kroah-Hartmans Blogeintrag enthält die Details sowie weiterführende Links. In seinem Google-Plus-Feed gibt es zudem ein Video zur Illustration.
