Coreboot ist eine freie und quelloffene Firmware, die einen schnellen, sicheren und flexiblen Ersatz für UEFI darstellen soll. Diese Anleitung zeigt, wie man coreboot mit einem SeaBIOS-Payload auf unterstützten Geräten installiert, wie man mit Userspace-Tools umgeht und wie man flashrom verwendet.

Unterstützte Hardware

Es gibt verschiedene Architekturen und unterstützte Hardware. Die ganz aktuelle Tabelle ist unter folgendem Link zu finden. In der folgenden Tabelle sind einige gut unterstützte Geräte aufgeführt, die mehr oder weniger neu sind. Wenn ein älteres Gerät verwendet wird, kann es möglich sein, alle proprietären Binär-Blobs zu entfernen. Verwenden Sie dazu die libreboot-Anleitung.

Die Grundlagen

In der Regel muss sich der Flash-Chip auf der Platine der ausgewählten Hardware befinden. Dies ist wichtig, da der Hersteller den Flash-Chip in der Regel per Soft-Lockdown sperrt. Anleitungen zum Auffinden des Chips finden sich im Allgemeinen im Coreboot-Wiki. In dieser Anleitung wird davon ausgegangen, dass das Gerät einen SPI-Flash-Chip enthält, für den ein Clip zum Anschluss an den Flasher erforderlich ist.

Flasher

Als Flasher kann ein Raspberry Pi verwendet werden. Jedes Modell und jede Revision ist geeignet, aber seien Sie gewarnt, dass die älteren Modelle nicht genug RAM haben, um coreboot selbst zu kompilieren. Wenn Sie einen solchen Pi verwenden, stellen Sie sicher, dass Sie den Dump des Flash-Chips auf einen leistungsfähigeren Computer kopieren. Wenn der Flash-Chip SPI-basiert ist, besorgen Sie sich einen Pomona SOIC-8 Testclip für £15. Es gibt aber auch viele andere Programmiergeräte. Stellen Sie sicher, dass Sie auch einige Debug-Drähte bekommen.

SPI-Flash

Es gibt verschiedene Arten von SPI-Chips (Liste). Das gängigste Gehäuse für diese Chips ist SOIC-8, das per Testclip geflasht werden kann. Manchmal befinden sich diese Chips in einem WSON-8-Gehäuse; in diesem Fall muss der WSON-8-Chip ausgelötet und mit einem neuen SOIC-8-Chip neu verlötet werden. Wenn Sie Hilfe beim Löten benötigen, fragen Sie in einem Hackerspace in Ihrer Nähe nach. SPI-Chips gibt es in Größen von 2 MB bis 16 MB. Oft löten die Hersteller zwei Chips, um Geld zu sparen.

flashrom

flashrom wird am häufigsten zum Dumpen und Schreiben auf Flash-Chips verwendet. Es muss auf dem Flasher oder auf der Maschine, an die der Flasher angeschlossen ist, installiert werden.

Es ist nützlich, Flashrom auf dem System zu installieren, auf das geflasht werden soll, da Coreboot nach dem ersten Flashen intern neu geflasht werden kann, ohne dass es zerlegt oder ein Flasher verwendet werden muss.

Nun muss die Maschine zerlegt werden. Folgen Sie dem Handbuch oder einer Online-Anleitung, bis der Flash-Chip zugänglich ist, und bringen Sie dann den Clip an und verbinden Sie ihn mit dem Flasher.

Wenn der Flash-Chip mit einem Flasher verbunden ist, benutze Flashrom, um den Inhalt des Flash-Chips zu löschen.

Es ist wichtig, mehrere Dumps zu machen, falls es einen Verbindungsfehler gibt. Sobald ein ordnungsgemäßer Dump vorliegt, kann der Flasher vorerst abgeschaltet werden, falls dies gewünscht wird. Denken Sie daran, dass ein Raspberry Pi v1 nicht genug RAM zum Kompilieren hat. Daher sollte der Dump zu diesem Zeitpunkt auf einen anderen Rechner übertragen werden. Es ist möglich, den Computer zu verwenden, von dem der Flash-Chip übertragen wurde, obwohl dies einen erneuten Zusammenbau und eine weitere Disassemblierung zu einem späteren Zeitpunkt erfordert.

Dumping und Kompilieren von Tools

Jetzt muss das coreboot git Repository in ein Arbeitsverzeichnis geklont werden, da es Tools enthält, die zum Fortfahren benötigt werden. Außerdem müssen Verzeichnisse für den jeweiligen Hersteller und das Modell angelegt werden.

Ersetzen Sie <Hersteller> und <Modell> mit Ihrem Hersteller bzw. Modell (z.z. B. lenovo/x220).

Der nächste Schritt ist die Extraktion von Regionen aus dem Flash-Dump. Regionen sind ähnlich wie Partitionen und ein Flash-Chip enthält einen Flash-Deskriptor, der als eine Partitionstabelle für den SPI-Flash mit einigen zusätzlichen Eigenschaften angesehen werden kann. Dieser Deskriptor wird von einem Programm namens ifdtool gelesen, das zur Gewinnung der einzelnen Partitionen verwendet wird.

Zuerst muss ifdtool kompiliert werden. Sein Quellcode befindet sich unter dem von coreboot, also cd in das Verzeichnis, in das coreboot geklont wurde.

Es ist eine gute Idee, global zu installieren, aber nicht notwendig.

Dann, cd zurück zu wo auch immer flash.bin ist.

Dies wird eine Partitionstabelle ausgeben und einige Blobs extrahieren. Eine Standard-Partitionstabelle kann wie folgt aussehen:

Intel ME und Gigabit Ethernet Konfigurationsdaten

Beachten Sie, dass die obige Tabelle ME und GbE enthält. Dies sind binäre Blobs, die Teile des Computers initialisieren (in diesem Fall Intel Management Engine und Gigabit Ethernet). Auf älteren Geräten können diese sicher mit libreboot entfernt werden, aber auf Sandy Bridge und neueren Geräten sind sie erforderlich, damit der Computer richtig läuft. Da Intel ME auf diesen Boards erforderlich ist, muss es extrahiert werden. Mit coreboot kann es jedoch drastisch verkleinert werden, indem der Zugriff auf Netzwerk- und Systemressourcen entfernt wird. Dies ist empfehlenswert, da es nicht nur die Sicherheit verbessert, sondern auch mehr Platz auf dem Flash-Chip für andere Nutzdaten schafft. Die Gigabit-Ethernet-Konfigurationsdaten sind für jeden Rechner spezifisch und müssen daher ebenfalls aus dem Flash-Chip extrahiert werden.

Zu diesem Zeitpunkt sollte das Arbeitsverzeichnis vier neue Dateien enthalten, die das Format flashregion_*.bin haben. Diese sollten der Tabelle entsprechen, die ausgedruckt wurde. Wie bereits erwähnt, werden der Deskriptor, Intel ME und die GbE-Blobs benötigt. Benennen Sie diese in descriptor.bin, me.bin bzw. gbe.bin um und kopieren Sie sie in das Verzeichnis coreboot/3rdparty/blobs/mainboard/<Hersteller>/<Modell>/, das zuvor erstellt wurde.

Konfigurieren und Kompilieren von Coreboot

Nun muss coreboot für den jeweiligen Rechner konfiguriert werden. Es ist am besten, die Coreboot-Wiki-Seite für das jeweilige Gerät zu lesen, falls es bestimmte Anforderungen gibt. Auf dieser Seite wird versucht, nur die Einstellungen zu beschreiben, die bei den meisten Installationen vorgenommen werden müssen. Dies kann nicht garantiert werden, und einige Einstellungen können Konflikte mit dem Gerät verursachen.

Zuerst müssen Sie die Konfiguration eingeben. Dies geschieht in ähnlicher Weise wie die Konfiguration eines Kernels.

Alternativ könnte man menuconfig verwenden oder sogar die Konfigurationsdatei manuell bearbeiten (nachdem sie von nconfig/menuconfig erzeugt wurde).

General Setup

Ich empfehle, folgendes zu aktivieren:

• CMOS für Konfigurationswerte verwenden
• Ramstage mit LZMA komprimieren
• Die coreboot .config-Datei in das ROM-Image ein
• Erstellen Sie eine Tabelle mit Zeitstempeln, die während des Bootens gesammelt werden
• Erstellen Sie das Ramstage so, dass es im 32-Bit-Adressraum verschiebbar ist

Für ein Sandy Bridge- oder späteres Gerät:

• Verwendung von binary-only repository zulassen

Und wenn Sie coreboot bereits kompiliert haben, können Sie die Kompilierzeit weiter verkürzen, indem Sie Folgendes aktivieren:

• Vorhandenes coreboot.rom-Image aktualisieren

Hauptplatine

Hier müssen der Hersteller und das Modell ausgewählt werden. Achten Sie darauf, dass das genaue Modell eingegeben wird, falls Derivate verfügbar sind (z.B. X220/X220t). Auch die ROM-Chipgröße sollte ausgewählt werden. Diese sollte von flashrom ausgegeben worden sein, kann aber, falls nicht, durch Überprüfung der Dateigröße von flash.bin ermittelt werden.

Chipset

Dieses Menü enthält Chipsatz-spezifische Optionen und auch die Speicherorte für die zuvor extrahierten binären Blobs. Da dies größtenteils gerätespezifisch ist, gibt es nur bestimmte Optionen, die durchgängig aktiviert werden sollten. Ich empfehle folgende Optionen zu aktivieren:

• VMX für Virtualisierung aktivieren
• Sperrbit nach der Konfiguration von VMX setzen
• Beep on fatal error
• Flash-LEDs bei fatal error

Diese Optionen erleichtern die Fehlersuche, wenn der Flash defekt ist. Sie können deaktiviert werden, sobald eine funktionierende Konfiguration erstellt wurde.

Als Nächstes müssen unter Intel Firmware Pfade angegeben werden. Aktivieren Sie diese Optionen:

• Add Intel descriptor.bin file
• Add Intel ME/TXE firmware
• Strip down the Intel ME/TXE firmware
• Add gigabit ethernet firmware

Optionen für Pfade sollten nun erscheinen. Sie sollten mit den zuvor verwendeten Namen übereinstimmen, aber wenn nicht, korrigieren Sie sie so, dass sie es tun.

Geräte

Dieser Bereich betrifft hauptsächlich die Grafik, insbesondere im Zusammenhang mit Laptops. Ich persönlich habe die Grafikinitialisierung auf „Use native graphics init“ und den Display/Framebuffer Mode auf „Linear „high-resolution“ framebuffer“ eingestellt. Die übrigen Optionen sollten bereits für das Gerät eingestellt sein. Wenn das spezifische Gerät ein VGA-BIOS-Image erfordert, folgen Sie dem coreboot-Wiki.

Generic Drivers

Ich aktiviere oft:

• PS/2 keyboard init

Wenn das Gerät über eine Intel PCIe WiFi Karte verfügt, aktivieren Sie die Option

• Support Intel PCI-e WiFi adapters

Security

Ich lasse dies oft in Ruhe, da es derzeit nur Verified Boot Optionen enthält, aber wenn die Unterstützung dafür erforderlich ist, aktivieren Sie es.

Konsole

Dieser Abschnitt enthält Optionen zum Debuggen von Konsolen. Es kann sinnvoll sein, bestimmte Optionen zu aktivieren, insbesondere wenn Probleme auftreten. Ich habe Folgendes aktiviert:

• Ap-CPUs von der frühen Konsole aus abschalten
• Konsolenausgaben in einen CBMEM-Puffer senden
• POST-Codes auf der Debug-Konsole anzeigen

Systemtabellen

SMBIOS-Tabellen generieren aktivieren, die einzige Option hier.

Nutzlasten

In diesem Abschnitt kann die Nutzlast ausgewählt werden. Auf dieser Seite wird beschrieben, wie man SeaBIOS einrichtet, da es die größte Kompatibilität mit Betriebssystemen hat, aber es ist auch möglich, GRUB2 für schnelleres Booten zu verwenden oder sogar einen Kernel auf dem Flash-Chip zu platzieren (wenn genug Platz vorhanden ist).

Wählen Sie folgendes für eine korrekte SeaBIOS-Einrichtung:

• Hinzufügen einer Nutzlast > SeaBIOS
• SeaBIOS-Version > Master
• Hardware-Init während der Ausführung der Option ROM
• Verwenden Sie LZMA-Komprimierung für Nutzlasten

Es kann auch gewünscht sein, einige sekundäre Nutzlasten zu aktivieren. Diese können zur Fehlersuche und zum Ändern von Optionen verwendet werden. Eine empfohlene Option ist nvramcui, die ähnlich wie ein Standard-BIOS-Optionsmenü funktioniert.

Debugging

Diese Optionen sind hauptsächlich für die Entwicklung gedacht. Normale Benutzer müssen in diesem Untermenü nichts aktivieren.

Kompilieren

Nachdem die Konfiguration abgeschlossen ist, muss coreboot kompiliert werden. Zuerst muss der Cross-Compiler gebaut werden:

Dazu muss dev-lang/gnat-gpl installiert sein, sonst funktionieren viele Funktionen nicht richtig.

Nachdem dies geschehen ist, kompiliere IASL:

Und schließlich kompiliere coreboot

Flashen von coreboot.rom

Dies sollte im Verzeichnis build/ eine Datei namens coreboot.rom erzeugen. Dies ist das endgültige Image, das geflasht werden muss. Kopieren Sie diese Datei auf den Flasher, falls noch nicht vorhanden, zerlegen Sie das Zielgerät und schließen Sie den Flasher an den Flash-Chip an.

Verwenden Sie auf dem Flasher flashrom zum Flashen:

Der zweite Befehl sollte VERIFIED zurückgeben. Wenn dies der Fall ist, wurde coreboot erfolgreich auf das Gerät geflasht.

Flashen über intern

Wenn coreboot einmal geflasht wurde, kann es später intern geflasht werden, ohne dass ein externes Flashergerät benötigt wird. Sobald eine neue coreboot.rom kompiliert wurde, führen Sie einfach die folgenden Schritte aus:

Fehlersuche

Coreboot bootet nicht (Broken build)

Wenn Coreboot nicht bootet, bedeutet dies normalerweise, dass es entweder nicht richtig konfiguriert ist oder eine Nutzlast fehlt. Stellen Sie sicher, dass eine korrekte Nutzlast ausgewählt wurde, die korrekt kompiliert und konfiguriert ist.

Es ist auch möglich, dass coreboot korrekt funktioniert, aber die grafische Komponente nicht. Dies kann durch die Verwendung von nativem gfx init verursacht werden. Versuchen Sie, ein VGA-BIOS zu dumpen und stattdessen dieses zu verwenden. Es könnte auch andersherum sein; versuchen Sie, von einem VGA-BIOS zu nativem gfx init zu wechseln. Versuchen Sie als letzten Ausweg, den Legacy-VGA-Textmodus für den Framebuffer-Modus unter Geräte/Anzeige zu verwenden.

Es bootet nichts mehr (aka SPI-Chip gebrickt)

Dies wird normalerweise dadurch verursacht, dass Sie den Rechner während des Dumpings eingeschaltet lassen oder mit einem externen Flasher flashen. Wenn sich das Gerät überhaupt nicht einschaltet (keine Lichter, Lüfter oder das Display schalten sich beim Booten ein), kann dies bedeuten, dass das Gerät gebrickt ist. Möglicherweise können Sie das Problem beheben, indem Sie einen neuen Flash-Chip kaufen (stellen Sie sicher, dass er kompatibel ist – versuchen Sie, denselben Hersteller und dasselbe Modell zu verwenden, um beste Ergebnisse zu erzielen) und diesen entweder mit dem Original-BIOS oder dem Coreboot-ROM flashen. Dies erfordert oft sehr schwierige Lötarbeiten und ist nichts für schwache Nerven. Es kann bedeuten, dass ein neues Gerät oder zumindest ein neues Motherboard gekauft werden muss.