From b20721f11fb29173d26f06cade547dc6188ea130 Mon Sep 17 00:00:00 2001 From: Peter Jung Date: Fri, 3 Apr 2026 13:45:41 +0200 Subject: [PATCH 1/3] limine: Update Secure Boot information Signed-off-by: Peter Jung --- .../bg/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../docs/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../cs/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../de/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../es/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../fr/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../ja/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../pl/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../pt/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- .../ru/configuration/secure_boot_setup.mdx | 19 ++++++++++++++++++- 10 files changed, 180 insertions(+), 10 deletions(-) diff --git a/src/content/docs/bg/configuration/secure_boot_setup.mdx b/src/content/docs/bg/configuration/secure_boot_setup.mdx index ac2514d67..1e10352bd 100644 --- a/src/content/docs/bg/configuration/secure_boot_setup.mdx +++ b/src/content/docs/bg/configuration/secure_boot_setup.mdx @@ -138,8 +138,25 @@ However, signing these files isn't necessary on Limine because it has a special boot process that bypasses EFI chainloading and signature checks. The only EFI binaries that need to be signed are Limine itself. +:::caution[Limine >= 11.2.0] +Starting with Limine 11.2.0, Secure Boot policies are **strictly enforced** when UEFI Secure Boot is active: + +- A BLAKE2B config checksum **must** be enrolled in the Limine EFI binary, otherwise Limine will panic with: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- All file paths in `limine.conf` (kernel, initramfs, etc.) **must** have BLAKE2B hashes appended (e.g. `boot():/vmlinuz-linux#`) +- The config editor is unconditionally disabled +- Hash mismatches always cause a panic +::: + +To enable automatic config checksum enrollment, set the following in `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Then run: + ```sh -# Use limine-enroll-config to sign Limine's EFI binary +# Use limine-enroll-config to enroll the config checksum and sign Limine's EFI binary # This uses sbctl under the hood sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/configuration/secure_boot_setup.mdx b/src/content/docs/configuration/secure_boot_setup.mdx index ac2514d67..1e10352bd 100644 --- a/src/content/docs/configuration/secure_boot_setup.mdx +++ b/src/content/docs/configuration/secure_boot_setup.mdx @@ -138,8 +138,25 @@ However, signing these files isn't necessary on Limine because it has a special boot process that bypasses EFI chainloading and signature checks. The only EFI binaries that need to be signed are Limine itself. +:::caution[Limine >= 11.2.0] +Starting with Limine 11.2.0, Secure Boot policies are **strictly enforced** when UEFI Secure Boot is active: + +- A BLAKE2B config checksum **must** be enrolled in the Limine EFI binary, otherwise Limine will panic with: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- All file paths in `limine.conf` (kernel, initramfs, etc.) **must** have BLAKE2B hashes appended (e.g. `boot():/vmlinuz-linux#`) +- The config editor is unconditionally disabled +- Hash mismatches always cause a panic +::: + +To enable automatic config checksum enrollment, set the following in `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Then run: + ```sh -# Use limine-enroll-config to sign Limine's EFI binary +# Use limine-enroll-config to enroll the config checksum and sign Limine's EFI binary # This uses sbctl under the hood sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/cs/configuration/secure_boot_setup.mdx b/src/content/docs/cs/configuration/secure_boot_setup.mdx index 494737074..6bd68c162 100644 --- a/src/content/docs/cs/configuration/secure_boot_setup.mdx +++ b/src/content/docs/cs/configuration/secure_boot_setup.mdx @@ -128,11 +128,28 @@ proces spouštění, který obchází řetězení EFI a kontroly podpisů. Jedin binární soubory, které je třeba podepsat, jsou samotný Limine a záložní EFI binární soubor, který se nachází na všech systémech UEFI. +:::caution[Limine >= 11.2.0] +Od verze Limine 11.2.0 jsou zásady Secure Boot **přísně vynucovány**, pokud je aktivní UEFI Secure Boot: + +- Kontrolní součet konfigurace BLAKE2B **musí** být zapsán do EFI binárního souboru Limine, jinak Limine zkolabuje s chybou: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Všechny cesty k souborům v `limine.conf` (kernel, initramfs atd.) **musí** mít přidané hashe BLAKE2B (např. `boot():/vmlinuz-linux#`) +- Editor konfigurace je bezpodmínečně zakázán +- Nesoulad hashů vždy způsobí kolaps +::: + +Chcete-li povolit automatické zapsání kontrolního součtu konfigurace, nastavte následující v `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Poté spusťte: + ```sh # Podepsání speciálního EFI binárního souboru ❯ sudo sbctl sign -s /boot/EFI/BOOT/BOOTX64.EFI -# Použití limine-enroll-config k podepsání EFI binárního souboru Limine +# Použití limine-enroll-config k zapsání kontrolního součtu konfigurace a podepsání EFI binárního souboru Limine # Toto používá sbctl pod kapotou ❯ sudo limine-enroll-config ``` diff --git a/src/content/docs/de/configuration/secure_boot_setup.mdx b/src/content/docs/de/configuration/secure_boot_setup.mdx index 1cf20eeec..8af5e4bc2 100644 --- a/src/content/docs/de/configuration/secure_boot_setup.mdx +++ b/src/content/docs/de/configuration/secure_boot_setup.mdx @@ -137,8 +137,25 @@ Das Signieren dieser Dateien ist bei Limine jedoch nicht notwendig, da es einen Boot-Prozess hat, der das EFI-Chainloading und die Signaturprüfungen umgeht. Die einzigen EFI- Binärdateien, die signiert werden müssen, ist Limine selbst. +:::caution[Limine >= 11.2.0] +Ab Limine 11.2.0 werden Secure-Boot-Richtlinien **streng durchgesetzt**, wenn UEFI Secure Boot aktiv ist: + +- Eine BLAKE2B-Konfigurationsprüfsumme **muss** in der EFI-Binärdatei von Limine eingetragen sein, sonst bricht Limine mit folgender Meldung ab: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Alle Dateipfade in `limine.conf` (Kernel, initramfs usw.) **müssen** BLAKE2B-Hashes angehängt haben (z. B. `boot():/vmlinuz-linux#`) +- Der Konfigurationseditor ist bedingungslos deaktiviert +- Hash-Abweichungen führen immer zu einem Absturz +::: + +Um die automatische Registrierung der Konfigurationsprüfsumme zu aktivieren, setze folgendes in `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Führe dann aus: + ```sh -# Verwende limine-enroll-config, um die EFI-Binärdatei von Limine zu signieren +# Verwende limine-enroll-config, um die Konfigurationsprüfsumme einzutragen und die EFI-Binärdatei von Limine zu signieren # Dies verwendet sbctl im Hintergrund sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/es/configuration/secure_boot_setup.mdx b/src/content/docs/es/configuration/secure_boot_setup.mdx index 0bd36d7f0..4a86ddf8a 100644 --- a/src/content/docs/es/configuration/secure_boot_setup.mdx +++ b/src/content/docs/es/configuration/secure_boot_setup.mdx @@ -137,8 +137,25 @@ Sin embargo, firmar estos archivos no es necesario en Limine porque tiene un pro arranque especial que evita el encadenamiento de EFI (chainloading) y las comprobaciones de firma. Los únicos binarios EFI que necesitan ser firmados son Limine mismo. +:::caution[Limine >= 11.2.0] +A partir de Limine 11.2.0, las políticas de Secure Boot se **aplican estrictamente** cuando el UEFI Secure Boot está activo: + +- Una suma de verificación de configuración BLAKE2B **debe** estar registrada en el binario EFI de Limine, de lo contrario Limine entrará en pánico con: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Todas las rutas de archivos en `limine.conf` (kernel, initramfs, etc.) **deben** tener hashes BLAKE2B añadidos (por ejemplo, `boot():/vmlinuz-linux#`) +- El editor de configuración está incondicionalmente deshabilitado +- Los conflictos de hash siempre causan un pánico +::: + +Para habilitar el registro automático de la suma de verificación de configuración, establece lo siguiente en `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Luego ejecuta: + ```sh -# Usa limine-enroll-config para firmar el binario EFI de Limine +# Usa limine-enroll-config para registrar la suma de verificación de configuración y firmar el binario EFI de Limine # Esto usa sbctl internamente sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/fr/configuration/secure_boot_setup.mdx b/src/content/docs/fr/configuration/secure_boot_setup.mdx index 92a75ee60..bf6aa974b 100644 --- a/src/content/docs/fr/configuration/secure_boot_setup.mdx +++ b/src/content/docs/fr/configuration/secure_boot_setup.mdx @@ -137,8 +137,25 @@ Cependant, la signature de ces fichiers n'est pas nécessaire avec Limine car il processus de démarrage spécial qui contourne le chaînage EFI et les vérifications de signature. Les seuls binaires EFI qui doivent être signés sont ceux de Limine lui-même. +:::caution[Limine >= 11.2.0] +À partir de Limine 11.2.0, les politiques Secure Boot sont **strictement appliquées** lorsque le UEFI Secure Boot est actif : + +- Une somme de contrôle de configuration BLAKE2B **doit** être enregistrée dans le binaire EFI de Limine, sinon Limine entre en panique avec : `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Tous les chemins de fichiers dans `limine.conf` (noyau, initramfs, etc.) **doivent** avoir des hachages BLAKE2B ajoutés (ex. `boot():/vmlinuz-linux#`) +- L'éditeur de configuration est inconditionnellement désactivé +- Les incompatibilités de hachage provoquent toujours une panique +::: + +Pour activer l'enregistrement automatique de la somme de contrôle de configuration, définissez ce qui suit dans `/etc/default/limine` : + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Ensuite, exécutez : + ```sh -# Utilisez limine-enroll-config pour signer le binaire EFI de Limine +# Utilisez limine-enroll-config pour enregistrer la somme de contrôle de configuration et signer le binaire EFI de Limine # Ceci utilise sbctl en arrière-plan sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/ja/configuration/secure_boot_setup.mdx b/src/content/docs/ja/configuration/secure_boot_setup.mdx index b9f5a5bca..5e72225a6 100644 --- a/src/content/docs/ja/configuration/secure_boot_setup.mdx +++ b/src/content/docs/ja/configuration/secure_boot_setup.mdx @@ -126,8 +126,25 @@ Limine は特殊なブートマネージャーで、ブート時に使用する ただし、Limine は EFI チェーンロードと署名チェックをバイパスする特殊なブートプロセスを持つため、これらのファイルへの署名は必要ありません。署名が必要な EFI バイナリは Limine 自身だけです。 +:::caution[Limine >= 11.2.0] +Limine 11.2.0 以降、UEFI Secure Boot が有効な場合、Secure Boot ポリシーが**厳格に適用**されます： + +- BLAKE2B 設定チェックサムが Limine EFI バイナリに登録されている**必要があります**。登録されていない場合、Limine は `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` でパニックを起こします +- `limine.conf` 内のすべてのファイルパス（カーネル、initramfs 等）に BLAKE2B ハッシュを付加する**必要があります**（例：`boot():/vmlinuz-linux#`） +- 設定エディターは無条件に無効化されます +- ハッシュの不一致は常にパニックを引き起こします +::: + +設定チェックサムの自動登録を有効にするには、`/etc/default/limine` に以下を設定してください： + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +次に実行します： + ```sh -# limine-enroll-config を使って Limine の EFI バイナリに署名する +# limine-enroll-config を使って設定チェックサムを登録し、Limine の EFI バイナリに署名する # 内部では sbctl を使用しています sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/pl/configuration/secure_boot_setup.mdx b/src/content/docs/pl/configuration/secure_boot_setup.mdx index 4e95c699c..75f0a38ab 100644 --- a/src/content/docs/pl/configuration/secure_boot_setup.mdx +++ b/src/content/docs/pl/configuration/secure_boot_setup.mdx @@ -137,8 +137,25 @@ Jednak podpisywanie tych plików nie jest konieczne w przypadku Limine, poniewa proces rozruchowy, który omija ładowanie łańcuchowe EFI (chainloading) i sprawdzanie podpisów. Jedyne pliki binarne EFI, które muszą być podpisane, to sam Limine. +:::caution[Limine >= 11.2.0] +Począwszy od Limine 11.2.0, polityki Secure Boot są **ściśle egzekwowane**, gdy aktywny jest UEFI Secure Boot: + +- Suma kontrolna konfiguracji BLAKE2B **musi** być zarejestrowana w pliku binarnym EFI Limine, w przeciwnym razie Limine wpadnie w panikę z komunikatem: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Wszystkie ścieżki plików w `limine.conf` (jądro, initramfs itp.) **muszą** mieć dołączone skróty BLAKE2B (np. `boot():/vmlinuz-linux#`) +- Edytor konfiguracji jest bezwarunkowo wyłączony +- Niezgodności skrótów zawsze powodują panikę +::: + +Aby włączyć automatyczną rejestrację sumy kontrolnej konfiguracji, ustaw następującą opcję w `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Następnie uruchom: + ```sh -# Użyj limine-enroll-config, aby podpisać plik binarny EFI Limine +# Użyj limine-enroll-config, aby zarejestrować sumę kontrolną konfiguracji i podpisać plik binarny EFI Limine # To używa sbctl pod spodem sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/pt/configuration/secure_boot_setup.mdx b/src/content/docs/pt/configuration/secure_boot_setup.mdx index 78939f21c..ecc2cc720 100644 --- a/src/content/docs/pt/configuration/secure_boot_setup.mdx +++ b/src/content/docs/pt/configuration/secure_boot_setup.mdx @@ -125,8 +125,25 @@ O Limine é um gestor de arranque especial que permite verificar o hash das imag No entanto, assinar estes ficheiros não é necessário no Limine, pois este possui um processo de arranque especial que ignora o chainloading de EFI e as verificações de assinatura. Os únicos binários EFI que precisam de ser assinados são os do próprio Limine. +:::caution[Limine >= 11.2.0] +A partir do Limine 11.2.0, as políticas de Secure Boot são **estritamente aplicadas** quando o UEFI Secure Boot está ativo: + +- Uma soma de verificação de configuração BLAKE2B **deve** estar registada no binário EFI do Limine, caso contrário o Limine entrará em pânico com: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Todos os caminhos de ficheiros em `limine.conf` (kernel, initramfs, etc.) **devem** ter hashes BLAKE2B anexados (por exemplo, `boot():/vmlinuz-linux#`) +- O editor de configuração está incondicionalmente desativado +- Incompatibilidades de hash causam sempre um pânico +::: + +Para ativar o registo automático da soma de verificação de configuração, defina o seguinte em `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Em seguida, execute: + ```sh -# Utilize o limine-enroll-config para assinar o binário EFI do Limine +# Utilize o limine-enroll-config para registar a soma de verificação de configuração e assinar o binário EFI do Limine # Este comando utiliza o sbctl internamente sudo limine-enroll-config sudo limine-update diff --git a/src/content/docs/ru/configuration/secure_boot_setup.mdx b/src/content/docs/ru/configuration/secure_boot_setup.mdx index 4a00357a9..4e28c8afc 100644 --- a/src/content/docs/ru/configuration/secure_boot_setup.mdx +++ b/src/content/docs/ru/configuration/secure_boot_setup.mdx @@ -137,8 +137,25 @@ Limine — это особый загрузчик, который позволя процесс загрузки, который обходит цепочку загрузки EFI (chainloading) и проверки подписей. Единственные EFI-файлы, которые необходимо подписать — это сам Limine. +:::caution[Limine >= 11.2.0] +Начиная с версии Limine 11.2.0, политики Secure Boot **строго применяются** при активном UEFI Secure Boot: + +- Контрольная сумма конфигурации BLAKE2B **должна** быть зарегистрирована в EFI-файле Limine, иначе Limine завершится с паникой: `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` +- Все пути к файлам в `limine.conf` (ядро, initramfs и т. д.) **должны** содержать хеши BLAKE2B (например, `boot():/vmlinuz-linux#`) +- Редактор конфигурации безоговорочно отключён +- Несоответствие хешей всегда вызывает панику +::: + +Чтобы включить автоматическую регистрацию контрольной суммы конфигурации, добавьте следующее в `/etc/default/limine`: + +```sh +ENABLE_ENROLL_LIMINE_CONFIG=yes +``` + +Затем выполните: + ```sh -# Используйте limine-enroll-config для подписи EFI-файла Limine +# Используйте limine-enroll-config для регистрации контрольной суммы конфигурации и подписи EFI-файла Limine # Под капотом используется sbctl sudo limine-enroll-config sudo limine-update From b6fc0cbee35bbafef713728f8266d0f674d2b1f4 Mon Sep 17 00:00:00 2001 From: Peter Jung Date: Fri, 3 Apr 2026 14:28:15 +0200 Subject: [PATCH 2/3] Update src/content/docs/fr/configuration/secure_boot_setup.mdx Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com> --- src/content/docs/fr/configuration/secure_boot_setup.mdx | 2 +- 1 file changed, 1 insertion(+), 1 deletion(-) diff --git a/src/content/docs/fr/configuration/secure_boot_setup.mdx b/src/content/docs/fr/configuration/secure_boot_setup.mdx index bf6aa974b..f40c245d6 100644 --- a/src/content/docs/fr/configuration/secure_boot_setup.mdx +++ b/src/content/docs/fr/configuration/secure_boot_setup.mdx @@ -138,7 +138,7 @@ processus de démarrage spécial qui contourne le chaînage EFI et les vérifica EFI qui doivent être signés sont ceux de Limine lui-même. :::caution[Limine >= 11.2.0] -À partir de Limine 11.2.0, les politiques Secure Boot sont **strictement appliquées** lorsque le UEFI Secure Boot est actif : +À partir de Limine 11.2.0, les politiques Secure Boot sont **strictement appliquées** lorsque l'UEFI Secure Boot est actif : - Une somme de contrôle de configuration BLAKE2B **doit** être enregistrée dans le binaire EFI de Limine, sinon Limine entre en panique avec : `SECURE BOOT IS ACTIVE BUT NO CONFIG CHECKSUM IS ENROLLED` - Tous les chemins de fichiers dans `limine.conf` (noyau, initramfs, etc.) **doivent** avoir des hachages BLAKE2B ajoutés (ex. `boot():/vmlinuz-linux#`) From 980be19a07db3aa2b6a10cd6fa7ac88bd7b60d54 Mon Sep 17 00:00:00 2001 From: Peter Jung Date: Fri, 3 Apr 2026 14:28:23 +0200 Subject: [PATCH 3/3] Update src/content/docs/cs/configuration/secure_boot_setup.mdx Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com> --- src/content/docs/cs/configuration/secure_boot_setup.mdx | 3 +++ 1 file changed, 3 insertions(+) diff --git a/src/content/docs/cs/configuration/secure_boot_setup.mdx b/src/content/docs/cs/configuration/secure_boot_setup.mdx index 6bd68c162..46bedb2ed 100644 --- a/src/content/docs/cs/configuration/secure_boot_setup.mdx +++ b/src/content/docs/cs/configuration/secure_boot_setup.mdx @@ -152,6 +152,9 @@ Poté spusťte: # Použití limine-enroll-config k zapsání kontrolního součtu konfigurace a podepsání EFI binárního souboru Limine # Toto používá sbctl pod kapotou ❯ sudo limine-enroll-config + +# Aktualizace nainstalovaných EFI binárních souborů Limine +❯ sudo limine-update ``` ## Ověření, že je Secure Boot povolen