UEFI Secure Boot y OpenCore (4)

por

BIOS bloqueada tras actuar en las claves seguras del firmware seguras: después de modificar variables seguras (actualizar, agregar, eliminar o restablecer los valores predeterminados), pueden ocurrir problemas, algunos de los cuales no son fáciles de solucionar:

Problemas detectados:

  • Las variables seguras no se dejan modificar con mensajes «Security violation» o «Try after system reboot» o «Secure variables are locked down»
  • Arranque del BIOS no pasa el POST con pitidos de error.

Por lo que he leído en diferentes lugares, estos problemas parecen ser más frecuentes en las placas base Gigabyte pero es algo de lo que no puedo estar seguro. Mi placa base es Gigabyte (Z390 Aorus Elite) y ha presentado estos problemas en varias ocasiones.

Leer más

UEFI Secure Boot y OpenCore (3)

por

Como parte del proceso de habilitar UEFI Secure Boot con OpenCore, hay que insertar los archivos de firma digital en el firmware, reemplazando las variables existentes en este orden:

  • db.auth >> DB (archivo de sitios autorizados)
  • kek.auth >> KEK (claves para el intercambio de claves)
  • pk.auth >> PK (clave de la plataforma).

Esto se puede hacer de 2 maneras: menú de configuración del BIOS o KeyTool.

BIOS

En la sección Secure Boot suele haber opciones para restaurar las claves predeterminadas de fábrica o editar variables por separado. En mi placa base (Z390 Aorus Elite), este menú está en Boot >> pestaña Secure Boot >> Key Management.

Leer más

UEFI Secure Boot y OpenCore (2)

por

El firmware UEFI de las placas base tiene la capacidad de arranque seguro de forma que sólo se permiten los archivos del boot loader firmados digitalmente con las claves que están integradas en el firmware. Con UEFI Secure Boot habilitado:
– Windows puede arrancar ya que los firmware incorporan certificados de Microsoft (a veces también certificados del fabricante de la placa base)
– macOS no puede arrancar; es necesario un sistema Linux en el que generar las claves y firmar con ellas los archivos de OpenCore, este es el motivo por el que actualmente arrancamos OpenCore con UEFI Secure Boot deshabilitado.

Este texto se basa en los artículos de:

Los artículos de sakaki y de Ubuntu plantean cómo arrancar Linux con UEFI Secure Boot activado pero khronokernel y profzei se refieren específicamente a OpenCore y macOS. Los 4 artículos coinciden en la necesidad de hacerlo desde un sistema Linux ya que las herramientas requeridas no existen para macOS. El sistema Linux necesario para firmar los archivos de OpenCore puede suponer un inconveniente significativo por el trabajo que conlleva su instalación y configuración (bien en disco independiente o en máquina virtual).
Una vez en Linux, todo se hace desde Terminal por lo que gran parte del sistema instalado realmente no hace falta.
Esta tarea se puede simplificar gracias a una infraestructura no demasiado utilizada que existe en Windows 10 (compilación 18917 o posterior) y Windows 11: Windows Subsystem for Linux (WSL), gracias a la cual podemos arrancar una imagen genuina de Ubuntu proporcionada por Canonical. Esto posibilita la ejecución de comandos de forma nativa en un terminal de Bash dentro de un entorno Windows que se comporta como Linux.

Leer más

UEFI Secure Boot y OpenCore (1)

por

UEFI Secure Boot y OpenCore con máquina virtual de Ubuntu en macOS: Esta es una forma de habilitar UEFI Secure Boot con OpenCore sin tener que instalar Windows o crear un dispositivo USB con Linux. Todo se realiza desde macOS. La función de portapapeles y carpeta compartidos, que permiten intercambiar texto y archivos entre macOS y Linux, facilita la tarea.

UTM

UTM es una aplicación que permite utilizar máquinas virtuales en macOS e iOS. Es un software gratuito y abierto. Información y descargas están disponibles en GitHub y en el sitio web.

UTM ofrece máquinas virtuales preconfiguradas que sólo debes adjuntar a la app e iniciar, no es necesario instalar previamente el sistema operativo. Puedes visitar la Galería de Máquinas Virtuales.

Entre las máquinas virtuales preinstaladas no existe Ubuntu 22.04 pero UTM tiene una guía para descargar e instalar esta versión de Ubuntu. He seguido esta guía para tener un sistema virtual Ubuntu 22.04 en macOS.

Leer más

UEFI Secure Boot y OpenCore (0)

por

Hay usuarios que no buscan un aumento en la seguridad al arrancar OpenCore y macOS sino únicamente una manera de poder tener UEFI Secure Boot habilitado y arrancar OpenCore sin deshabilitarlo en cada ocasión. Esto puede deberse a que quieren arrancar Windows con UEFI Secure Boot o a que la máquina que usan lo tiene habilitado y no pueden deshabilitarlo (equipos de empresa sobre todo).

Aunque probablemente el nivel de seguridad que proporciona este método es menor que el ya comentado en las entradas anteriores sobre este tema (crear nuestras propias claves en un sistema Linux, firmar digitalmente los archivos de OpenCore e incluir nuestras claves seguras en el firmware), es una manera mucho más sencilla y que consume mucho menos tiempo por lo que, si eres de los que sólo quieren poder arrancar OpenCore con UEFI Secure Boot habilitado, esto puede ser muy útil para ti.

Lo que se propone es añadir los archivos .efi de OpenCore a la variable segura db, que es una lista de firmas permitidas, para que UEFI Secure Boot acepte estos archivos .efi como seguros. No modificamos los archivos .efi, sólo le decimos al firmware que los considere seguros para que arranquen aunque UEFI Secure Boot esté habilitado.

Leer más

Carpeta EFI con OpenCore 1.0.0

por

Carpeta EFI con OpenCore 1.0.0 creada para: placa Z390 Aorus Elite + i9-9900K + RX 6600 XT + Wi-Fi Fenvi. Este es el artículo original con la instalación de macOS Sonoma en este hardware: macOS 14 Sonoma en Z390 Aorus Elite. Con pocas variaciones puede funcionar en otras placas con chipset Z390 o Z370. Tiene diferentes opciones de configuración con 2 modelos de SMBIOS y 2 adaptadores Wi-Fi (Broadcom o Intel).

Leer más

Cambiar de OpenCore 0.9.9 a 1.0.0

por

Se ha publicado OpnCore 1.0.0. A pesar del número de versión, no ha de ser visto como una actualización mayor sino como un paso más en la evolución continua de OpenCore. Hay bastantes cambios y mejoras, es recomendable actualizar. Puedes obtenerlo desde Acidanthera.

Cambios principales

  • Se han actualizado las versiones de firmware para SMBIOS.
  • Las utilidades ahora requieren macOS 10.9+ (OpenCore todavía soporta macOS 10.4+).
  • Se ha añadido soporte AllowRelocationBlock para versiones de 32-bit.
  • Se ha arreglado un problema al cargar algunos drivers en OpenDuet (ej. OpenRuntime.efi).
  • Se ha corregido el orden alfabético de algunas secciones en el archivo Configuration.pdf.

Leer más

Wi-Fi 6 Intel AX210 en macOS Sonoma

por

macOS Sonoma eliminó los controladores para las tarjetas wifi Broadcom que llevan los modelos de Mac anteriores a 2017. Una de las tarjetas afectadas es la Fenvi T-919, ampliamente utilizada en los Hacks. Los desarrolladores de OCLP publicaron una solución que permite que estas wifi funcionen en Sonoma, añadiendo esta prestación a los parches que OCLP puede aplicar. Para poder aplicar los parches, OCLP requiere que macOS funcione con algunas características de seguridad relajadas: SecureBootModel deshabilitado y SIP parcialmente deshabilitada. Esto no deja de suponer una cierta pérdida de seguridad en macOS, como han hecho notar algunos usuarios.
Aquí propongo un modelo de tarjeta wifi de Intel que por defecto carece de soporte en macOS pero puede ser utilizada en Sonoma gracias al trabajo del sitio OpenIntelWireless.
Se trata de la tarjeta WiFi 6E Intel AX210S PCIe. Esta tarjeta puede funcionar con las condiciones de seguridad de macOS habituales sin necesidad de relajar Apple Secure Boot o SIP. Puede ser interesante para quienes carecen de wifi en Sonoma o para quienes quieren mantener la seguridad de su sistema sin recurrir a los parches de OCLP.

Hardware

La tarjeta puede ser comprada de 2 maneras diferentes:

  • montada en el adaptador PCIe por Ziyituod y por otros ensambladores: WiFi 6E Intel AX210S PCIe
  • en 2 partes, tarjeta propiamente dicha por un lado (Tarjeta WiFi 6E Intel AX210 NGW Bluetooth para portátil con conector M.2/NGFF) y adaptador por otro (Adaptador PCIE X1 a M.2/NGFF A+E Key para módulo WiFi Bluetooth).

Leer más

EFI con OpenCore 0.9.9 para Sonoma

por

Carpeta EFI con OpenCore 0.9.9 para mi sistema (Z390 + i9-9900k + RX 6600 XT) en macOS Sonoma. Complemento a la entrada macOS 14 Sonoma en Z390 Aorus Elite. Contiene configuraciones diferentes para SMBIOS de iMac19,1 o de MacPro7,1. He añadido ajustes para instalar Wi-Fi Fenvi (Broadcom) o Intel (incluye Bluetooth).

config-14-imac-amd.plist

  • SMBIOS iMac19,1
  • IMPORTANTE: rellena tus propios datos SMBIOS
  • iGPU en modo sin cable (headless mode) y AMD como gráfica principal
  • iGPU Enabled en BIOS
  • unfairgva=6 en DeviceProperties de la gráfica AMD para conseguir DRM (parcial).

config-14-macpro.plist

  • SMBIOS MacPro7,1
  • IMPORTANTE: rellena tus propios datos SMBIOS
  • iGPU Disabled en BIOS.

Leer más

Wi-Fi Fenvi vuelve a funcionar en Sonoma

por

Muchos usuarios entre los que me incluyo hemos utilizado las tarjetas PCI-express Fenvi T919 o Fenvi HB1200 (combo Wi-Fi + Bluetooth) que han funcionado desde al menos High Sierra sin necesidad de controladores adicionales, instaladas automáticamente por macOS y reconocidas como Airdrop y Bluetooth de Apple. Las 2 Fenvi llevan el chipset Wi-Fi BCM4360 por lo que han dejado de funcionar en macOS Sonoma. La parte Bluetooth funciona bien, como en Ventura y anteriores. Esto puede ser un serio inconveniente para muchos usuarios porque se pierden las prestaciones asociadas al ecosistema Apple: Airdrop, Continuity, cámara del iPhone…

Julio de 2024: macOS 15 Sequoia anula el parche de OCLP

El parche de OCLP dejó de funcionar en macOS 15 Sequoia. El equipo de OCLP tiene una solución que le permite recuperar Fenvi Wi-Fi en Sequoia, con algunas diferencia respecto a la que usábamos en Sonoma:

  • Coge la versión 1.4.1 de AMFIPass desde aquí
  • Coge la versión 1.2.0 de IOSkyWalkFamily desde aquí
  • Coge la versión beta 1.6.0 o más nueva de OCLP desde aquí (OpenCore-Patcher.pkg).

El resto de ajustes es como antes.

Febrero de 2024: macOS Sonoma anula el parche de OCLP

En macOS 14.4, Apple ha modificado partes del sistema Wi-Fi de manera que el parche de OCLP ha dejado de funcionar, por lo que las Wi-Fi Fenvi y Broadcom ya no pueden utilizarse. Sin embargo, los desarrolladores de OCLP han sacado una solución para volver a utilizarlasi. Se requieren 2 cambios:

  • OCLP 1.4.2 o más reciente
  • IOSkywalkFamily.kext 1.1.0 que ha de reemplazar a la versión actual 1.0.0. La puedes descargar desde el sitio GitHub de OCLP >> carpeta payloads >> carpeta Kexts >> carpeta Wifi >> Enlace.

Leer más