<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"> <head> <meta http-equiv="Content-Type" content="text/html; charset=us-ascii"> <meta name="Generator" content="Microsoft Word 15 (filtered medium)"> <style></style> </head> <body lang="EN-US" link="#0563C1" vlink="#954F72"> <div class="WordSection1"> Divneil,<o:p></o:p> Just want to double confirm: did you test the secure boot and non-secure boot?<o:p></o:p> <o:p> </o:p> Thanks,<o:p></o:p> Ray<o:p></o:p> <o:p> </o:p> <div style="border:none;border-left:solid blue 1.5pt;padding:0in 0in 0in 4.0pt"> <div> <div style="border:none;border-top:solid #E1E1E1 1.0pt;padding:3.0pt 0in 0in 0in"> From: Wadhawan, Divneil R <divneil.r.wadhawan@intel.com> Sent: Wednesday, September 16, 2020 11:53 PM To: devel@edk2.groups.io Cc: Ni, Ray <ray.ni@intel.com>; gaoliming <gaoliming@byosoft.com.cn>; 'Andrew Fish' <afish@apple.com>; Justen, Jordan L <jordan.l.justen@intel.com>; Kinney, Michael D <michael.d.kinney@intel.com>; Wadhawan, Divneil R <divneil.r.wadhawan@intel.com> Subject: [edk2-devel] [PATCH v2] EmulatorPkg: Enable support for Secure Boot<o:p></o:p> </div> </div> <o:p> </o:p> SECURE_BOOT_ENABLE feature flag is introduced to enable Secure Boot.<o:p></o:p> The following gets enabled with this patch:<o:p></o:p> o Secure Boot Menu in "Device Manager" for enrolling keys<o:p></o:p> o Storage space for Authenticated Variables<o:p></o:p> o Authenticated execution of 3rd party images<o:p></o:p> <o:p> </o:p> Signed-off-by: Divneil Rai Wadhawan <<a href="mailto:divneil.r.wadhawan@intel.com">divneil.r.wadhawan@intel.com</a>><o:p></o:p> ---<o:p></o:p> EmulatorPkg/EmulatorPkg.dsc | 37 +++++++++++++++++++++++++++++++++++--<o:p></o:p> EmulatorPkg/EmulatorPkg.fdf | 14 ++++++++++++++<o:p></o:p> 2 files changed, 49 insertions(+), 2 deletions(-)<o:p></o:p> <o:p> </o:p> diff --git a/EmulatorPkg/EmulatorPkg.dsc b/EmulatorPkg/EmulatorPkg.dsc<o:p></o:p> index 86a6271735..c6e25c745e 100644<o:p></o:p> --- a/EmulatorPkg/EmulatorPkg.dsc<o:p></o:p> +++ b/EmulatorPkg/EmulatorPkg.dsc<o:p></o:p> @@ -32,6 +32,7 @@<o:p></o:p> DEFINE NETWORK_TLS_ENABLE = FALSE<o:p></o:p> DEFINE NETWORK_HTTP_BOOT_ENABLE = FALSE<o:p></o:p> DEFINE NETWORK_ISCSI_ENABLE = FALSE<o:p></o:p> + DEFINE SECURE_BOOT_ENABLE = FALSE<o:p></o:p> <o:p> </o:p> [SkuIds]<o:p></o:p> 0|DEFAULT<o:p></o:p> @@ -106,12 +107,20 @@<o:p></o:p> LockBoxLib|MdeModulePkg/Library/LockBoxNullLib/LockBoxNullLib.inf<o:p></o:p> CpuExceptionHandlerLib|MdeModulePkg/Library/CpuExceptionHandlerLibNull/CpuExceptionHandlerLibNull.inf<o:p></o:p> TpmMeasurementLib|MdeModulePkg/Library/TpmMeasurementLibNull/TpmMeasurementLibNull.inf<o:p></o:p> - AuthVariableLib|MdeModulePkg/Library/AuthVariableLibNull/AuthVariableLibNull.inf<o:p></o:p> VarCheckLib|MdeModulePkg/Library/VarCheckLib/VarCheckLib.inf<o:p></o:p> SortLib|MdeModulePkg/Library/BaseSortLib/BaseSortLib.inf<o:p></o:p> ShellLib|ShellPkg/Library/UefiShellLib/UefiShellLib.inf<o:p></o:p> FileHandleLib|MdePkg/Library/UefiFileHandleLib/UefiFileHandleLib.inf<o:p></o:p> <o:p> </o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + IntrinsicLib|CryptoPkg/Library/IntrinsicLib/IntrinsicLib.inf<o:p></o:p> + OpensslLib|CryptoPkg/Library/OpensslLib/OpensslLibCrypto.inf<o:p></o:p> + PlatformSecureLib|SecurityPkg/Library/PlatformSecureLibNull/PlatformSecureLibNull.inf<o:p></o:p> + AuthVariableLib|SecurityPkg/Library/AuthVariableLib/AuthVariableLib.inf<o:p></o:p> +!else<o:p></o:p> + AuthVariableLib|MdeModulePkg/Library/AuthVariableLibNull/AuthVariableLibNull.inf<o:p></o:p> +!endif<o:p></o:p> +<o:p></o:p> [LibraryClasses.common.SEC]<o:p></o:p> PeiServicesLib|EmulatorPkg/Library/SecPeiServicesLib/SecPeiServicesLib.inf<o:p></o:p> PcdLib|MdePkg/Library/BasePcdLibNull/BasePcdLibNull.inf<o:p></o:p> @@ -162,6 +171,16 @@<o:p></o:p> TimerLib|EmulatorPkg/Library/DxeCoreTimerLib/DxeCoreTimerLib.inf<o:p></o:p> EmuThunkLib|EmulatorPkg/Library/DxeEmuLib/DxeEmuLib.inf<o:p></o:p> <o:p> </o:p> +[LibraryClasses.common.DXE_DRIVER, LibraryClasses.common.UEFI_DRIVER, LibraryClasses.common.UEFI_APPLICATION]<o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + BaseCryptLib|CryptoPkg/Library/BaseCryptLib/BaseCryptLib.inf<o:p></o:p> +!endif<o:p></o:p> +<o:p></o:p> +[LibraryClasses.common.DXE_RUNTIME_DRIVER]<o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + BaseCryptLib|CryptoPkg/Library/BaseCryptLib/RuntimeCryptLib.inf<o:p></o:p> +!endif<o:p></o:p> +<o:p></o:p> [LibraryClasses.common.DXE_RUNTIME_DRIVER, LibraryClasses.common.UEFI_DRIVER, LibraryClasses.common.DXE_DRIVER, LibraryClasses.common.UEFI_APPLICATION]<o:p></o:p> HobLib|MdePkg/Library/DxeHobLib/DxeHobLib.inf<o:p></o:p> PcdLib|MdePkg/Library/DxePcdLib/DxePcdLib.inf<o:p></o:p> @@ -190,6 +209,10 @@<o:p></o:p> gEmulatorPkgTokenSpaceGuid.PcdEmuFirmwareFdSize|0x002a0000<o:p></o:p> gEmulatorPkgTokenSpaceGuid.PcdEmuFirmwareBlockSize|0x10000<o:p></o:p> gEmulatorPkgTokenSpaceGuid.PcdEmuFirmwareVolume|L"../FV/FV_RECOVERY.fd"<o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + gEfiMdeModulePkgTokenSpaceGuid.PcdMaxAuthVariableSize|0x2800<o:p></o:p> + gEfiSecurityPkgTokenSpaceGuid.PcdUserPhysicalPresence|TRUE<o:p></o:p> +!endif<o:p></o:p> <o:p> </o:p> gEmulatorPkgTokenSpaceGuid.PcdEmuMemorySize|L"64!64"<o:p></o:p> <o:p> </o:p> @@ -306,7 +329,14 @@<o:p></o:p> EmulatorPkg/ResetRuntimeDxe/Reset.inf<o:p></o:p> MdeModulePkg/Core/RuntimeDxe/RuntimeDxe.inf<o:p></o:p> EmulatorPkg/FvbServicesRuntimeDxe/FvbServicesRuntimeDxe.inf<o:p></o:p> - MdeModulePkg/Universal/SecurityStubDxe/SecurityStubDxe.inf<o:p></o:p> +<o:p></o:p> + MdeModulePkg/Universal/SecurityStubDxe/SecurityStubDxe.inf {<o:p></o:p> + <LibraryClasses><o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + NULL|SecurityPkg/Library/DxeImageVerificationLib/DxeImageVerificationLib.inf<o:p></o:p> +!endif<o:p></o:p> + }<o:p></o:p> +<o:p></o:p> MdeModulePkg/Universal/EbcDxe/EbcDxe.inf<o:p></o:p> MdeModulePkg/Universal/MemoryTest/NullMemoryTestDxe/NullMemoryTestDxe.inf<o:p></o:p> EmulatorPkg/EmuThunkDxe/EmuThunk.inf<o:p></o:p> @@ -315,6 +345,9 @@<o:p></o:p> EmulatorPkg/PlatformSmbiosDxe/PlatformSmbiosDxe.inf<o:p></o:p> EmulatorPkg/TimerDxe/Timer.inf<o:p></o:p> <o:p> </o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> + SecurityPkg/VariableAuthenticated/SecureBootConfigDxe/SecureBootConfigDxe.inf<o:p></o:p> +!endif<o:p></o:p> <o:p> </o:p> MdeModulePkg/Universal/Variable/RuntimeDxe/VariableRuntimeDxe.inf {<o:p></o:p> <LibraryClasses><o:p></o:p> diff --git a/EmulatorPkg/EmulatorPkg.fdf b/EmulatorPkg/EmulatorPkg.fdf<o:p></o:p> index 295f6f1db8..b256aa9397 100644<o:p></o:p> --- a/EmulatorPkg/EmulatorPkg.fdf<o:p></o:p> +++ b/EmulatorPkg/EmulatorPkg.fdf<o:p></o:p> @@ -46,10 +46,17 @@ DATA = {<o:p></o:p> # Blockmap[1]: End<o:p></o:p> 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,<o:p></o:p> ## This is the VARIABLE_STORE_HEADER<o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == FALSE<o:p></o:p> #Signature: gEfiVariableGuid =<o:p></o:p> # { 0xddcf3616, 0x3275, 0x4164, { 0x98, 0xb6, 0xfe, 0x85, 0x70, 0x7f, 0xfe, 0x7d }}<o:p></o:p> 0x16, 0x36, 0xcf, 0xdd, 0x75, 0x32, 0x64, 0x41,<o:p></o:p> 0x98, 0xb6, 0xfe, 0x85, 0x70, 0x7f, 0xfe, 0x7d,<o:p></o:p> +!else<o:p></o:p> + # Signature: gEfiAuthenticatedVariableGuid =<o:p></o:p> + # { 0xaaf32c78, 0x947b, 0x439a, { 0xa1, 0x80, 0x2e, 0x14, 0x4e, 0xc3, 0x77, 0x92 }}<o:p></o:p> + 0x78, 0x2c, 0xf3, 0xaa, 0x7b, 0x94, 0x9a, 0x43,<o:p></o:p> + 0xa1, 0x80, 0x2e, 0x14, 0x4e, 0xc3, 0x77, 0x92,<o:p></o:p> +!endif<o:p></o:p> #Size: 0xc000 (gEfiMdeModulePkgTokenSpaceGuid.PcdFlashNvStorageVariableSize) - 0x48 (size of EFI_FIRMWARE_VOLUME_HEADER) = 0xBFB8<o:p></o:p> # This can speed up the Variable Dispatch a bit.<o:p></o:p> 0xB8, 0xBF, 0x00, 0x00,<o:p></o:p> @@ -186,6 +193,13 @@ INF RuleOverride = UI MdeModulePkg/Application/UiApp/UiApp.inf<o:p></o:p> INF MdeModulePkg/Application/BootManagerMenuApp/BootManagerMenuApp.inf<o:p></o:p> INF MdeModulePkg/Universal/DriverSampleDxe/DriverSampleDxe.inf<o:p></o:p> <o:p> </o:p> +#<o:p></o:p> +# Secure Boot Key Enroll<o:p></o:p> +#<o:p></o:p> +!if $(SECURE_BOOT_ENABLE) == TRUE<o:p></o:p> +INF SecurityPkg/VariableAuthenticated/SecureBootConfigDxe/SecureBootConfigDxe.inf<o:p></o:p> +!endif<o:p></o:p> +<o:p></o:p> #<o:p></o:p> # Network stack drivers<o:p></o:p> #<o:p></o:p> -- <o:p></o:p> 2.24.1.windows.2<o:p></o:p> </div> </div> </body> </html> <div width="1" style="color:white;clear:both">_._,_._,_</div> <hr> Groups.io Links: You receive all messages sent to this group. <a target="_blank" href="https://edk2.groups.io/g/devel/message/65356">View/Reply Online (#65356)</a> | | <a target="_blank" href="https://groups.io/mt/76890431/1813853">Mute This Topic</a> | <a href="https://edk2.groups.io/g/devel/post">New Topic</a> <a href="https://edk2.groups.io/g/devel/editsub/1813853">Your Subscription</a> | <a href="mailto:devel+owner@edk2.groups.io">Contact Group Owner</a> | <a href="https://edk2.groups.io/g/devel/unsub">Unsubscribe</a> [edk2-devel-archive@redhat.com] <div width="1" style="color:white;clear:both">_._,_._,_</div>