Coreboot, Libreboot совместимые ThinkPad'ы¶

Что такое Coreboot?¶

Coreboot - это свободная альтернатива проприетарным BIOS/UEFI прошивкам под лицензией GPLv2.

Сам по себе Coreboot не имеет загрузчика. Он выступает в качестве прослойки для взаимодействия с железом, а поверх него уже работают загрузчики - payload.

Примеры payload'ов для загрузки операционных систем:

Coreboot используется в Chromebook'ах (там используется u-boot payload), в QEMU виртуалках (вместе с SeaBIOS либо Tianocore, в зависимости от того что вы выберите) и портирован на многие ThinkPad'ы до поколения Haswell. Из более менее современных материнских плат, на данный момент был портирован на MSI PRO Z690-A от проекта Dasharo, который работает на Intel 11го поколения.

Что такое Libreboot?¶

Libreboot - это дистрибутив Coreboot, цель которого предоставить свободную (на сколько это возможно) прошивку для загрузки систем, альтернативную приприетарным.

В качестве загрузчика используется GRUB2 и/или SeaBIOS и меню для настройки оборудования. Сопровождающим проекта является Ли Роу (Leah Rowe)

Раньше проект Libreboot предоставлял только полностью свободные прошивки без каких-либо блобов. Однако 16 ноября 2022, в результате слияния проекта os-boot (тоже от Ли Роу), проект сменил политику поставки проприетарных компонентов (далее: blob'ов) в прошивку.

Слияние проектов позволило существенно расширить количество поддерживаемых устройств - теперь ThinkPad'ы 30 и 40 серий получили официальную поддержку Libreboot!

Вот некоторые выноски из политики блобов (примерный перевод):

• Если blob'а можно избежать, его следует избегать. Например, инициализация VGA или ОЗУ, даже если опенсорсный аналог хуже работает.
• Если в ноутбуке есть дискретная графика (например, Nvidia) и для её работы нужен blob, то он будет добавлен в прошивку.
• Если для процессора есть обновление микрокода, то он будет добавлен в прошивку, так как это исправляет ошибки безопасности в процессоре.

Другие Coreboot дистрибутивы¶

Таблица существующих Coreboot дистрибутивов (помимо упомянутого Libreboot):

Coreboot также используется: в Chromebook и Chromebox; ноутбуках System76 и Librem от Purism. Coreboot также планируется порт на ноутбуки от Framework и уже есть первый коммит.

Поддерживаемые ThinkPad'ы¶

Ниже представлены таблицы устройств с разделением на поколения, для которых можно собрать Coreboot образы.

От сообщества¶

ThinkPad'ы с модификациями от сообщества:

60 серия¶

ThinkPad'ы 60 серии (поколения Merom, Yonah - Core Duo):

Не путать с моделями по типу ThinkPad T460. Речь идёт от моделях 2006 года выпуска.

00 серия¶

ThinkPad'ы 00 серии (поколение Penryn - Core 2 Duo):

01 и 10 серии¶

ThinkPad'ы 01 и 10 серии (1-е поколение Core - Nehalem):

20 серия¶

ThinkPad'ы 20 серии (2-е поколение Core - Sandy Bridge):

30 серия¶

ThinkPad'ы 30 серии (3-е поколение Core - Ivy Bridge):

40 серия¶

ThinkPad'ы 40 серии (4-е поколение Core - Haswell):

Поддержка Libreboot означает что эти модели поддерживаются сопровождающим проекта. Если поддержки Libreboot нет, вы всё ещё можете собрать свой образ из репозитория Coreboot.

Внутренняя прошивка означает то что вы можете прошить образ на целевой машине, используя при этом проприетарную прошивку, обычно это происходит за счёт нахождения уязвимостей. В противном случае придется использовать программатор.

Советую всегда делать прошивку внешним программатором, сделав перед этим бэкап BIOS чипа. Так вы сможете вернуть свою машину в рабочее состояние при неудачной прошивке.

При внутренней прошивке есть серьезный шанс привести BIOS в нерабочее состояние: собрать неправильно образ или допустить ошибку при вводе команды. Имея бэкап, вы всегда сможете восстановить образ к первоначальному состоянию при помощи внешнего программатора.

Если устройство полностью свободное, то его можно собирать без IntelME и микрокода. В такие устройства можно прошить Libreboot образ без модификаций.

Если устройство НЕ полностью свободное, то вам нужно будет сначала снять дамп вашего BIOS чипа программатором (включая IFD, IME, BIOS и GBE регионы) ,"вытащить" оттуда нужные blob'ы и пропатчить готовый Libreboot образ, либо собрать самому образ Coreboot из исходников, со ссылкой на blob'ы в makefile.

Чаще всего несвободными компонентами считаются Intel Management Engine (Intel ME) и VGA BIOS для дискретных видеокарт AMD и Nvidia.

Вроде бы можно вытащить нужные blob'ы из .exe и .iso-образов для обновления BIOS с сайта Lenovo. Я не пробовал этот метод, но многие говорили что способ рабочий.

Поддерживаемые Chromebook'и¶

Это таблица ThinkPad Chromebook устройств с поддержкой Coreboot образа от MrChromebox. Подробная информация есть в таблице Coreboot дистрибутивов.

Неизвестно также являются ли прошивки полностью свободными на этих устройствах, но скорее всего нет - мешает Intel ME. Также многие устройства не упоминаются в Coreboot репозитории, возможно для этих устройств есть отдельный репозиторий, а в апстрим поддержку не завезли.

Известные проблемы¶

Таблица известных проблем при использовании Coreboot:

Полный список багов в Сoreboot можно посмотреть на ticket.coreboot.org

Стоит отметить что баги бывают специфичными для Coreboot дистрибутивов. Например, раньше в Libreboot был баг с S3 сном на Haswell ThinkPad'ах (T440p, W541), но это оказалось не проблемой со стороны Coreboot, и в релизе Libreboot 20230319 это исправили.

К сожалению, T440p и W541 (W540) являются самыми современными ThinkPad'ами (не Chromebook'ами) с поддерживающие Coreboot на данный момент. Другие 40ые модели и более новые не поддерживаются из-за Intel Boot Guard, который мешает работе Coreboot (но почему-то не мешает модификации заводских проприетарных прошивок через me_cleaner и UEFI Patcher).

Стоит упомянуть, что Ли Роу не советует использовать программатор CH341A для прошивки чипов из-за бага с 3.3 вольтовой линией, которая выдает 5 вольт. Таким образом можно сжечь BIOS чип. Лучше прошивать чип при помощи RaspberryPi.

Сам я использую CH341A с Алика. На моём программаторе этот баг отсутствовал, но неисправные версии до сих пор встречаются.

Имхо, если у вас уже есть RaspberryPi, то просто докупите прищепку и прочее что нужно для прошивки. Если у вас нет RaspberryPi но есть любой компьютер работающий с GNU/Linux, то экономнее взять CH341A, при условии, что вы сможете проверить самостоятельно наличие этого бага при помощи вольтметра и исправить пайкой (либо выкинуть).

А нужно ли оно вообще?¶

Зависит от того с какой целью вы хотите себе прошить Coreboot:

• Если ваша цель собрать полностью свободный ноутбук, установить ath9k WiFi карту без микрокода и использовать Trisquel, PureOS или Qubes OS, то прошивка на Coreboot того стоит.

• Установка Coreboot поможет вам справиться с whitelist'ами на WiFi и WWAN карты, если на вашу модель нет пропатченого заводского BIOS, как например на ThinkPad T60.

• Также это даёт вам возможность поддерживать BIOS прошивку в актуальном состоянии со всеми патчами безопасности. Да, SeaBIOS до сих пор патчат каждый выпуск и исправляют баги.

• Если вы стали владельцем Chromebook или Chromebox и вы хотите заместо ChromeOS использовать Windows или Linux, то Coreboot образы от MrChromebox вам в этом помогут.

Если вы хотите избавиться только от ограничений на WiFi карты, WWAN модемы и дисплеи (50-ые серии), то лучше воспользоваться патчами для ThinkPad прошивок от сообщества.

В Coreboot прошивках всё ещё могут быть специфичные баги, в то время как с заводскими прошивками баги встречаются очень редко.

Немного изображений¶

В качестве загрузчика используется SeaBIOS. Образ Skulls прошивался внутренней прошивкой при помощи 1vyrain. Для изменения изображения нужно пересобирать образ самостоятельно при помощи Docker образа от проекта Skulls.

GRUB2 на T60 не запустился на нём, но говорят что это возможно. О том как собрать образ для T60 с ATI я уже делал гайд.