如何为 UEFI 安全启动刻录/创建可启动 USB 或 CD

Question

我使用 Lili（LinuxLive USB Creator）创建了一个基于 64 位 Lubuntu 13.04 iso 和 Windows 8 Uefi 安全启动的可启动 USB 记忆棒。该棒仅在传统引导中启动，而不是在 Uefi 模式下启动。

然后，我用 CD ROM 试了一下，因为有些人认为 U 盘上的一些旧的和隐藏的东西会干扰启动过程。我点击了 ISO 映像（也在 Windows 8 UEFI 安全启动模式下）“刻录到 CD ROM”，如 f.ex 所述。在这里：https : //help.ubuntu.com/community/BurningIsoHowto

它不适用于 Uefi 安全启动。错误信息是：

CDRom has been blocked by the current security policy [OK]

因为 Canonical 没有 *buntu 的 Uefi 许可证。当我使用 Uefi 启动但禁用安全启动时，甚至没有错误消息。在 Legacy 模式下，CD ROM 工作正常。

因为我必须在 Uefi 安全启动模式下启动才能在 Uefi 安全启动模式下将 *buntu 13.04 与 Windows 8 一起安装：如何在 Uefi 安全启动模式下刻录可启动的 Live CD？使用 Win 8 或 Win XP 或 Mac OS 10.4.11 或传统模式的 Live CD？

Answer 1

理论上，Ubuntu 12.04.2（但不是12.04）、12.10 和 13.04 都通过名为 shim 的程序支持安全启动，并且它们的安装程序应该在安全启动激活的情况下启动。在实践中，这似乎存在很多问题。我不确定这是因为配置错误，因为 Ubuntu 仍在使用旧的 shim 版本 0.1，还是因为某些计算机的安全启动实现中的错误。如果你遇到这样的问题，我有三个建议：

• 您可以在相关计算机上禁用安全启动。这通常是最简单的方法。请注意，这不会阻止您启动 Windows。缺点是您将失去安全启动提供的安全优势——但这并不比在基于 BIOS 的计算机上运行 Windows 更糟糕。
• 您可以在Ubuntu 中使用更新的shim 0.2版。最简单的方法是禁用安全启动、安装 Ubuntu、安装更新的 shim，然后重新启用安全启动。请注意，一旦您重新激活安全启动，您将需要在您的机器所有者密钥 (MOK) 列表中手动注册 Canonical/Ubuntu 的公钥。该密钥在 Ubuntu shim 包 IIRC 中可用；或者你可以在我的rEFInd .zip文件中找到它。您在重新启动时注册密钥；当 shim 启动并在 GRUB 二进制文件上看到未知签名时，shim 会启动一个名为 MokManager 的程序，该程序的用户界面类似于 Apple II。您可以使用 MokManager 导航到要在 MOK 中注册的公钥文件。
• 您可以尝试Linux Foundation 的 PreBootloader而不是 shim。您需要以与HashTool.efi安装 shim 大致相同的方式安装它（及其相关文件）。但是，您必须使用 PreBootloader 注册您的引导加载程序，可能还有您的内核，而不是注册公钥。总的来说，从长远来看，这可能更难使用；但如果它有效而 shim 无效，它可能是您唯一的选择。

请注意，对于 shim 0.2 或 PreBootloader，如果您选择将新程序放在安装介质上，则只会影响安装程序的启动；当安装程序设置 Ubuntu 时，它会安装 Ubuntu 的旧 shim 0.1。如果问题的根源是 shim 0.1，这意味着您需要禁用安全启动并在硬盘上安装 shim 0.2 或 PreBootloader。因此，修改安装介质没有什么意义；在安装 Ubuntu 时暂时禁用安全启动更简单。

不幸的是，让 shim 或 PreBootloader 工作的细节有点乏味。我建议您查阅我关于安全启动的一般页面和/或我关于使用带有 rEFInd 的安全启动的页面，以获取有关如何安装和使用这些程序的更多详细信息。