Windows 8 預裝裝置強制啟用 UEFI Secure Boot，阻礙 Linux 安裝。本文整理四大應對方案，涵蓋 UEFI 原生啟動、Secure Boot 簽名機制、各大發行版策略、開源硬體替代方案。
核心挑戰：UEFI Secure Boot
- Windows 8 認證硬體強制啟用 Secure Boot，僅信任微軟簽名的開機載入器
- 傳統 BIOS/CSM (相容性支援模組) 模式在新裝置可能缺失或不穩定
- Linux 核心/開機載入器需獲微軟簽名或使用自有簽名機制
方案一：OEM 開啟 Secure Boot 關閉選項 (最理想)
- 進入 BIOS/UEFI 設定 → Security → Secure Boot → Disabled
- 安裝 Linux 如同 Windows 7 時代，無簽名障礙
- 限制：Windows RT (ARM) 裝置**強制鎖定 Secure Boot，無法關閉**
方案二：使用微軟簽名服務 (Fedora/RHEL 路徑)
- Fedora 透過微軟簽名服務 (Verisign) 取得 `shim.efi` 簽名
- 開機流程：UEFI → 微軟信任 `shim.efi` → `shim` 驗證 Fedora 核心簽名 → 載入 GRUB2 → Linux
- 優點：成本低、相容絕大多數硬體、無需用戶操作
- 爭議：依賴微軟簽名基礎設施，自由軟體基金會 (FSF) 反對
方案三：發行版自有 Secure Boot 簽名 (Ubuntu/Canonical 路徑)
- Canonical 建立獨立簽名基礎設施，簽名自有 `shim` + GRUB2 + 核心
- 用戶需在 UEFI 匯入 Canonical 憑證 (MOK, Machine Owner Key) → 一次性確認
- 優點：完全獨立於微軟，符合開源精神
- 挑戰：硬體廠商預載憑證覆蓋率不足，用戶需手動 MOK 註冊
方案四：開源硬體 / 禁用 Secure Boot 硬體
- 購買預裝 Linux / 核心啟動 (Coreboot) / 開源韌體的裝置 (System76、Tuxedo、Purism、Pine64 等)
- 從根源避開 Secure Boot 鎖定
- 長遠看：保障用戶自由、推動硬體開放標準
技術支撐：Intel Tianocore UEFI 參考實作
- Intel 開源 UEFI 參考程式碼 (Tianocore/EDK II)
- 現包含 Secure Boot 參考實作與簽名工具
- 開發者可構建自有簽名鏈、測試 UEFI 應用、驅動開發
各大發行版現狀 (2012 年底視角)
| 發行版 | 策略 | 狀態 |
|---|
| Fedora 18+ | 微軟簽名 shim | 已釋出，相容性佳 |
| Ubuntu 12.10+ | Canonical 自簽 + MOK | 已釋出，需手動 MOK 註冊 |
| openSUSE 12.3+ | 評估中 | 未定案 |
| Debian Wheezy | 支援 UEFI 安裝，Secure Boot 實驗性 | 需手動配置 |
| Arch Linux | 官方 ISO 支援 UEFI，Secure Boot 需自行簽名 | 進階用戶自行配置 |
總結建議
- 優先選購允許關閉 Secure Boot 的 x86 裝置
- 次選 Fedora/openSUSE (微軟簽名路徑) — 安裝最省心
- 進階用戶選 Ubuntu/Arch — 手動 MOK/簽名掌控完全
- 堅持自由軟體者 → 開源硬體
- Windows RT 裝置：無解，勿購買作 Linux 用途
