在 Windows 8 PC 上安裝 Linux 的四大方案：應對 UEFI Secure Boot 挑戰

Windows 8 預裝電腦強制啟用 UEFI Secure Boot，導致傳統 Linux 安裝媒體無法啟動。Linux 基金會、各大發行版社群提出四種應對策略，本文整理技術細節與優缺點，助您在 Win 8 硬體上成功運行 Linux。

核心難題：Secure Boot 鎖死開機鏈

Secure Boot 僅信任微軟簽名的開機載入器。傳統 BIOS 相容模組 (CSM) 在 Win 8 硬體上往往被移除或不可靠。Linux 開發者必須解決「如何讓 UEFI 信任 Linux 開機載入器」的問題。

方案一：Linux 發行版自行簽名（Ubuntu/Canonical 模式）

• Canonical 向微軟購買代碼簽名憑證，為 Ubuntu 的 shim + grub 簽名。
• 用戶無需關閉 Secure Boot，直接啟動安裝媒體。
• 優點：用戶體驗最佳，開箱即用。缺點：自由軟體基金會 (FSF) 批評依賴專有簽名基礎設施，違背自由軟體精神。

方案二：使用微軟簽名服務

• Fedora/紅帽選擇支付費用使用微軟 Sysdev 入口網站，透過 VeriSign 為自家 shim 簽名。
• Matthew Garrett（紅帽開發者）辯護：成本最低、相容硬體最廣、避免碎片化。
• 優點：務實、穩定。缺點：同樣依賴微軟 PKI 體系。

方案三：Intel Tianocore UEFI 參考實作 + 自簽名

• James Bottomley (Linux Foundation) 釋出基於 Intel Tianocore (開源 UEFI 參考程式碼) 的啟動載入器，內建微軟簽名金鑰支援。
• 開發者可在虛擬平台測試自簽名 Secure Boot 流程，再燒錄至實體硬體。
• 現狀：簽名工具鏈尚不成熟，仍處早期探索階段。

方案四：開源硬體 / 關閉 Secure Boot

• 購買預裝 Linux 或支援關閉 Secure Boot 的開源友善硬體（如 System76、Tuxedo、Purism）。
• 或在 UEFI 設定中關閉 Secure Boot（若 OEM 允許）。注意：Windows RT (ARM) 裝置強制鎖定 Secure Boot，無法關閉，無法安裝 Linux。

總結：現階段最佳實踐建議

1. 優先選購支援關閉 Secure Boot 或預裝 Linux 的筆電/主機板。
2. 若必須在現有 Win 8 PC 安裝：優先嘗試 Fedora 或 Ubuntu 最新版，兩者均已通過微軟簽名，可直接在 Secure Boot 啟動狀態下安裝。
3. 安裝前備份 Windows 系統映像（以防需恢復）。
4. 關注 openSUSE、Arch 等社群對 Secure Boot 的最新支援進度。

Secure Boot 設計初衷是提升安全，但實際上將「信任錨點」壟斷於微軟手中，對替代作業系統構成人為障礙。長期來看，開源韌體與開源硬體生態才是根本出路。