Add secureboot support
I maintainer di solito rispondono entro 1 giorno
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 35/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Attiva
- Stack tecnologico
- github-actions, linux, shell
- Ambito
- build-system, security
Direzione di ricerca
Start by reading the sysupdate mkosi.conf and the OS project's GitHub Actions setup, then review how just mkosi genkey creates the key and certificate. The issue also calls for storing the private key in Bitwarden and GitHub secrets and making the certificate accessible. Done means Secure Boot is enabled, the key is enrolled on first boot, and the resulting boot binary's signature can be verified.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
I got a PoC working (on qemu's edk2-2024 secure-code, my laptop doesn't support sboot super well)
🦸 root@virt:/home/virt# sudo sbverify --cert /usr/lib/verity.d/mkosi.crt /boot/EFI/systemd/systemd-bootx64.efi
> Signature verification OK
For this to work, we have to use a permanent mkosi.key (in github actions)
You can use the following command in the OS project repo root:
just mkosi genkey --genkey-common-name="name of the owner (elementary)" --genkey-valid-days="whatever you think is sane"
Then upload the .key to the project's bitwarden and to GH secret
And put the .crt somewhere accessible so it can be compared by users.
Then in mkosi itself, we just have to set SecureBoot=true in the mkosi.conf of sysupdate.
Key auto-enroll on first-boot.
@lewisgoddard @danirabbit if one you have the time, could you please add the mkosi.key to the GH secrets? Thank you <3
- Lingua principale
- Shell
- Stelle
- 1.2k
- Fork
- 147
- Merge medio
- 23h 36m
- PR unite (30g)
- 21
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di elementary/os
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 48/100
elementary/os#916 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Priority: Wishlist
Difficoltà 3/5 1-2 giorni Idoneità per principianti 52/100
elementary/os#908 ·
I maintainer di solito rispondono entro 1 giorno
-
Preserve flatpak repo cache across (local user) build reruns to speed them upForse già presa @vjr l’ha presa 33 giorni fa. Aperta
elementary/os#895 · 2 commenti · 1 assegnatario ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100
elementary/os#890 ·
I maintainer di solito rispondono entro 1 giorno
-
Simplify version string?Forse già presa @danirabbit l’ha presa 35 giorni fa. Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
elementary/os#885 · 6 commenti · 1 reazione ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di elementary/os
Issue simili
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
obra/superpowers#2651 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 Meno di un'ora Idoneità per principianti 85/100
iceboundrock/fp-skills#36 ·
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 84/100
alunduil/alunduil-chezmoi#1102 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 92/100
open-horizon/devops#237 ·