Como inicializar e instalar o Linux em um computador UEFI com inicialização segura

Os novos PCs Windows vêm com firmware UEFI e inicialização segura ativada. O Secure Boot impede que os sistemas operacionais inicializem, a menos que sejam assinados por uma chave carregada no UEFI - fora da caixa, somente o software assinado pela Microsoft pode inicializar.

A Microsoft exige que os fornecedores de PCs permitam que os usuários desabilitem a Inicialização Segura, para que você possa desativar a Inicialização Segura ou adicionar sua própria chave personalizada para contornar essa limitação. Inicialização segura não pode ser desativada em dispositivos ARM que executam o Windows RT.

Como funciona a inicialização segura

Os PCs que vêm com o Windows 8 e o Windows 8.1 incluem o firmware UEFI em vez do BIOS tradicional. Por padrão, o firmware UEFI da máquina só inicializará carregadores de inicialização assinados por uma chave incorporada no firmware UEFI. Esse recurso é conhecido como “Inicialização Segura” ou “Inicialização Confiável”. Nos PCs tradicionais sem esse recurso de segurança, um rootkit pode se instalar e se tornar o gerenciador de inicialização. A BIOS do computador carregaria o rootkit no momento da inicialização, que inicializaria e carregaria o Windows, ocultando-se do sistema operacional e incorporando-se a um nível mais profundo.

O Secure Boot bloqueia isso - o computador só inicializa o software confiável, portanto, os gerenciadores de inicialização mal-intencionados não conseguirão infectar o sistema.

Em um PC Intel x86 (não em PCs ARM), você tem controle sobre inicialização segura. Você pode optar por desativá-lo ou até mesmo adicionar sua própria chave de assinatura. As organizações podem usar suas próprias chaves para garantir que apenas sistemas operacionais Linux aprovados possam ser inicializados, por exemplo.

Opções para instalar o Linux

Você tem várias opções para instalar o Linux em um PC com inicialização segura:

• Escolha uma distribuição Linux que suporte a inicialização segura: Versões modernas do Ubuntu - começando com o Ubuntu 12.04.2 LTS e 12.10 - serão inicializadas e instaladas normalmente na maioria dos PCs com inicialização segura ativada. Isso ocorre porque o boot loader EFI de primeiro estágio do Ubuntu é assinado pela Microsoft. No entanto, um desenvolvedor do Ubuntu observa que o gerenciador de inicialização do Ubuntu não está assinado com uma chave exigida pelo processo de certificação da Microsoft, mas simplesmente uma chave que a Microsoft diz ser "recomendada". Isso significa que o Ubuntu não inicializa em todos os computadores da UEFI. Os usuários podem ter que desativar o Secure Boot para usar o Ubuntu em alguns PCs.
• Desativar inicialização segura: O Secure Boot pode ser desativado, o que trará seus benefícios de segurança pela capacidade de fazer o seu PC inicializar qualquer coisa, assim como os PCs mais antigos com o BIOS tradicional. Isso também é necessário se você deseja instalar uma versão mais antiga do Windows que não foi desenvolvida com o Secure Boot em mente, como o Windows 7.
• Adicione uma chave de assinatura ao Firmware UEFI: Algumas distribuições do Linux podem assinar seus carregadores de boot com suas próprias chaves, que você pode adicionar ao seu firmware UEFI. Isso não parece ser comum no momento.

Você deve verificar qual processo sua distribuição de escolha do Linux recomenda. Se você precisar inicializar uma distribuição antiga do Linux que não forneça nenhuma informação sobre isso, você só precisará desabilitar o Secure Boot.

Você deve ser capaz de instalar versões atuais do Ubuntu - a versão LTS ou a versão mais recente - sem nenhum problema na maioria dos novos PCs. Veja a última seção para obter instruções sobre como inicializar a partir de um dispositivo removível.

Como desabilitar a inicialização segura

Você pode controlar a Inicialização Segura a partir da tela Configurações de Firmware da UEFI. Para acessar esta tela, você precisará acessar o menu de opções de inicialização no Windows 8. Para fazer isso, abra o botão Configurações - pressione a tecla Windows + I para abri-la - clique no botão Liga / Desliga e mantenha pressionada a tecla Shift. você clica em Reiniciar.

Seu computador irá reiniciar na tela de opções avançadas de inicialização. Selecione a opção Solução de problemas, selecione Opções avançadas e, em seguida, selecione Configurações UEFI. (Você pode não ver a opção UEFI Settings em alguns PCs com Windows 8, mesmo que eles sejam fornecidos com UEFI - consulte a documentação do fabricante para obter informações sobre como chegar à tela de configurações de UEFI neste caso.)

Você será levado para a tela Configurações UEFI, onde poderá optar por desativar a inicialização segura ou adicionar sua própria chave.

Inicializar a partir de mídia removível

Você pode inicializar a partir de mídia removível acessando o menu de opções de inicialização da mesma maneira - segure a tecla Shift enquanto clica na opção Reiniciar. Insira o dispositivo de inicialização de sua escolha, selecione Usar um dispositivo e selecione o dispositivo que deseja inicializar.

Depois de inicializar a partir do dispositivo removível, você pode instalar o Linux como faria normalmente ou apenas usar o ambiente ao vivo do dispositivo removível sem instalá-lo.

Tenha em mente que o Secure Boot é um recurso de segurança útil. Você deve deixá-lo ativado, a menos que precise executar sistemas operacionais que não inicializem com inicialização segura ativada.