有没有遇到 windows 还原 uefi boot entry 的？

[henglinli]

在 secure boot 开启并使用自签名 efi 情况下，之前的 Alienware alpha r1 如此，如今的 nuc8i7hnk 亦是如此。目前采用的规避方法是使用 systemd boot 替代 bootfwmgr，再用 chainload 重命名后的 bootfwmgr。这不是 ami （没记错的话 alpha r1 的 bios 也是 ami 的方案，dell 的实现）的 bug 就是 MS 不厚道故意把其他 boot entry 给故意弄坏了。
无论是 efibootmgr 还是 bcfg 添加的 boot entry 都会被 windows 弄坏，然而 bootmgrfw 又不能 chainload 其他 bootloader （存疑，曾试过 bcdedit 添加类似 windows 的启动项目，但是无效，stackoverflow 上也有例子）。假装 bootmgrfw 的这个方法让我觉得憋屈，明明差一点就可以了解决问题而不是规避问题。

未尝试的可能方法：自签名 bootmgrfw 及其他相关的 efi，不知道 windows 的安全启动机制是否支持，更不知道 windows 还原 bootentry 的机制是否包含签名验证。自签名 bootmgrfw 等后，如果 windows 依然能正常启动，说明 window 还原 bootentry 的机制不包含签名验证，那么修改或添加 bcdedit 那个备份数据库对应的 boot entry 项，也许能做到让 windows 还原期望的 boot entry，也就是说先添加 linux 用的 boot entry，再安装 Windows 或者修复 windows 启动也许能解决该问题。由于不太想了解 windows 的启动细节，未进行深纠。

以上为抛砖引玉用。
以下为没用的。

不知道启用 bios supervisor 密码后，含有 TPM 的主板是否能做到即使使用跳线重置主板也无法清除 bios supervisor 密码？ intel 的规格文档并未说明 bios 密码一定存储在 tpm 中，我也没进行测试。
有没有人使用这个 https://github.com/corna/me_cleaner 清除过 intel nuc 的 me。

[Tyanboot]

@henglinli 是主板支持的。可能只有部分支持吧…这个锁定的效果就是所做的修改在重启之后恢复到锁定时候的状态。所以 Windows 也没法自作主张的增删调整顺序了。

[dingwen07]

跳线破解 BIOS 密码后 TPM 会拒绝提供密钥，不会有安全问题。你要更加安全用 EFS。买个智能卡（比如 YubiKey，最好不要选支持国密的），用智能卡生成不可导出的密钥。敏感数据用 EFS 加密，在没设置恢复代理的情况下没有智能卡绝对打不开。

[henglinli]

@dingwen07 跳线清除 bios 密码后，就可以从 USB 启动其他 OS 了，从其他 OS 访问本地遵循国内法律的加密方案保护的文件是可能的。目前在考虑 google 泰坦 https://cloud.google.com/titan-security-key

[dingwen07]

@henglinli 如果 BIOS 关键设置有变化，不管怎么变的，TPM 会拒绝提供密钥。如果用 BitLocker 加密了，那就没法解密。TPM 很安全，唯一需要注意的是 TPM 是不是国产，所有国行电脑都是国产芯片。
谷歌 Titan 密钥只支持 u2f 只可以用来做双重验证。YubiKey 可以当作智能卡，放入 X.905 证书后就可以用来做 BitLocker 加密的＂使用智能卡解锁＂，也可以在加密文件系统（ EFS ）上用。