Valdemar Bilas Side

En praktisk guide gennem Libreboot-junglen

For et par dage siden blev jeg færdig med min idéelle computer, så nu skriver jeg på en Librebootet ThinkPad W500 med en Quad Core-processor – den kraftigste Libreboot-maskine der findes. Det vil sige at jeg har en computer der næsten kører uden proprietær kode, med nogle få uundgåelige undtagelser, og helt uden Intels Management Engine eller AMD’s Platform Security Processor. Mine kriterier for computeren har været følgende (prioriteret rækkefølge):

  1. Computeren skal være så fri som mulig
  2. Computeren skal være solidt bygget
  3. Computeren skal have udskiftelige dele
  4. Computeren skal være så kraftig som det er muligt for en computer der opfylder 1-3.

Det kan være en større proces at Libreboote sin første maskine og Libreboot-dokumentationen er så fuldstændig at den kan virke uoverskuelig, så her er en guide gennem de valg man skal træffe når man vil have en Librebootet computer. Guiden forudsætter at du kan finde ud af at bruge Linux-commandline eller lignende til at compile software, flashe o.l. Kig altid gennem den officielle dokumentation, men brug denne guide som en hjælp til at finde rundt i Libreboot-junglen.

Del 1: Hvilken computer skal jeg have?

Libreboot har for nyligt ændret politik. Førhen var Libreboot en 100% fri udgave af Coreboot, men nu inkluderer Libreboot proprietær kode til nogle maskiner hvis de ikke kan undgå det. Det betyder at Libreboot kan understøtte mere hardware end før. Det betyder også at det ikke er alle Libreboot-maskiner der har helt fri boot-firmware. Der findes dog en fork af Libreboot, Canoeboot, som ikke inkluderer proprietær kode (forken maintaines af Leah Rowe, samme maintainer som Libreboot og er lidt en joke efter noget ligegyldigt internet-drama Libreboot og FSF). Forholder vi os til listen over understøttede maskiner på Canoeboot-hjemmesiden kan vi se alle de maskiner vi kan Libreboote uden proprietær kode.

Der er 2 forskellige veje at gå som jeg vil skitsere:

1: Jeg vil have den kraftigste Libreboot-computer der findes

Du skal have en af følgende modeller:

Disse maskiner kræver at man skiller computeren helt ad for at de kan Librebootes. For mig er det ikke rigtigt et problem, da der er sværere ting ved at Libreboote en computer end at skille den ad. T500/W500 findes med forskellige batteristørrelser, forskellige skærmopløsninger (op til 1920x1200) og i versioner med kun integreret eller både integreret og dedikeret grafik (altså 2 grafikkort). Når du Librebooter den slås det dedikerede grafikkort dog fra da det kræver proprietær kode. Vil du smide en Quad Core i maskinen, anbefaler jeg dog at du skaffer versionen med dedikeret grafik alligevel, da den har bedre køling (et ekstra rør i køleren). Vil du beholde dedikeret grafik i maskinen, tror jeg det er muligt med Coreboot. Men det ville kræve proprietær kode, så jeg er ikke selv interesseret.

Også værd at overveje:

Der kan potentielt findes en måde hvorpå en E6400 kan understøtte en Quad Core CPU, men lige nu er det ikke muligt, se denne Reddit-tråd.

Alle modeller i afsnittet understøtter op til 8GB RAM. Sørg for at købe den rette type RAM, hvis du vil opgradere til 8GB. For T500/W500 og lignende skal du have PC3-8500-RAM.

2: Jeg vil have en computer der er ubesværlig at Libreboote

X200 findes også som X200t og X200s (hhv. tablet og slim), hold dig fra dem. Disse har en anden type chip som gør det besværligt at Libreboote dem. Vær opmærksom på at hvis du laver fejl når du flasher Libreboot gennem software, skal du muligvis bruge eksternt flashing-udstyr for at få maskinen til at virke igen.

Jeg ville gå med E6400 eller X200 hvis jeg var i denne kategori.

Yderligere info

Her er en kort sammenligning af nogle forskellige Libreboot-ThinkPads. Gennemgår bl.a. ThinkPad-seriernes navnebetydninger. Jeg ved ikke noget om desktop-computere eller servere der understøtter Libreboot.

Del 2: Hvilket andet udstyr skal jeg have?

Jeg tager her udgangspunkt i en T500/W500. Ret selv guiden til hvis din maskine er en anden.

Hvis du har valgt en computer som ikke kan flashes gennem software, skal du have fat i eksternt flashing-udstyr. Først skal du finde ud af hvilken type BIOS-chip du har. Fjern de her 5 skruer bagpå:

palmrest-skruer

Nu kan palmresten fjernes. hvis du lyser ind her kan du lige se en del af Bios-chippen:

bios-chip

Hvis chippen har 4 pins på hver side (som den på billedet) er det en 8-pin-chip, kaldet SOP-8. Hvis chippen har 8 pins på hver side er det en 16-pin-chip, kaldet SOIC-16. Har du en s- eller t-udgave (fx en ThinkPad X200s), kan det være at du har en helt anden type chip, dobbelttjek med dette link for at identificere din flash-type. Hvis du også kan læse hvad der står på chippen, er det en god idé. Hvis du kan, slår du navnet på chippen op og finder chippens datablad. Her kan vi læse om chippen skal have 3,3V eller 1,8V. Her er databladdet for min chip:

datablad

Her kan du se at min chip skal bruge 3,3V.

Kan du ikke læse hvad der står på chippen, gør det nok ikke så meget. Historisk set har alle Libreboot-understøttede chips skulle bruge 3,3V, det burde kun være hvis det er en Chromebook at den skal bruge 1,8V (og den behøver du kun at flashe eksternt hvis den ikke kan starte). Det kan dog være at der tilføjes flere maskiner med 1,8V-chips i fremtiden. En anden ting der er værd at prøve er at installere flashrom og køre ‘flashrom -p internal’ på den maskine du vil Libreboote – flashrom burde rapportere et eller flere mulige chipnavne. Hvis der kun er et navn er du heldig, hvis der er flere og du vil være helt sikker, kan du slå dem alle op og sikre dig at der ikke er nogle af dem der skal bruge 1,8V.

Nu kan du begynde at finde de ting du skal have.

Eksternt flashing-udstyr

Til at flashe skal du bruge:

Du kan gå med nogle forskellige programmere. Hvis du allerede har en Raspberry Pi, kan du bruge den. Du kan også bruge en Arduino, men det kræver at du får den til at give 3,3V i stedet for 5V.

Hvis ikke du har en programmer, har jeg to anbefalinger. Enten en Raspberry Pi Pico (billig, køb den med påloddede headers for kun 10 kr ekstra – dem skal du bruge) eller en CH341A. Raspberyy Pi Pico er et godt valg da den er billig, anbefales af Libreboot selv og kan skaffes let i Danmark. Vælger du den, kan det være en god idé at tilkøbe et officielt Mikro-USB-kabel, så du er sikker på at det ikke er kablets skyld hvis du har problemer senere.

CH341A er også billig, men maintainerne af Libreboot mener at den har en fejl i designet der gør at den kører med 5V i stedet for 3,3V i datalinjerne. Det lader dog til at datalinjerne kører de korrekte 3.3V så snart den bruges, men jeg har ikke forstand nok på den slags til at vurdere det. Uanset hvad har jeg brugt en CH341A til min chip uden problemer, også selvom jeg lavede fejl hvor ting der ikke skulle forbindes blev forbundet. Det virker som om at det er en teoretisk mulighed at du kan ødelægge chippen med fejlstrøm mere end det rent faktisk er sandsynligt i praksis, men pas alligevel på med din maskine. Den største ulempe ved CH341A er at den ikke er lige så let at skaffe i Danmark som en Pi Pico.

Har du en 1,8V-chip, skal du have en 1,8V-converter der passer til programmeren.

Udover en programmer skal du bruge en clip der passer til din chip (kaldes nogle gange testclip). Der findes to slags testclips: Pomona-clips og Kina-clips. Jeg købte den billige Kina-udgave efter at have set denne video og havde utroligt mange problemer med den. De er svære at sætte rigtigt på chippen, får sjældent en brugbar forbindelse, og plastikken skræller af hvis du forsøger for mange gange – og så kan den slet ikke sidde på længere. Jeg anbefaler derfor Pomona-clippen. Jeg endte med at fjerne fjederen i min clip, skyde kløerne ud af clippen, fastlåse den i den rette bredde med tape og sætte den på et stativ der holdt den nede til chippen:

scuffed-clip-1 scuffed-clip-2

Jeg havde købt clippen til en SOIC-16-maskine, men endte med at Libreboote en SOP-8-maskine der var i bedre stand. Det er altså muligt, men ikke anbefalet at bruge en 16-pin-clip til en 8-pin-chip. Den CH341A jeg købte var også en billig Kina-kopi. Navnet er skrevet forkert, og der står “MinProgramment” bagpå. Oprindeligt troede jeg at det var den der var problemet, da jeg fejlede med den første maskine, så jeg købte en Pi Pico i stedet. Det viste sig dog at være en dårlig clip, Kina-CH341A'en virkede fint.

Kablerne på de her clips er generelt alt for lange til at få en god forbindelse, så jeg anbefaler at du bare forbinder det med jumper-ledninger. Her er Pomona-clippen også bedre en Kina-clippen fordi der er plads til at jumper-ledningerne kan sidde på clippen. Har du en Kina-clip, må du bøje kløerne så kablerne kan være der.

Køber du en Pi Pico, kan du købe Hun-Hun Jumper-ledninger på samme hjemmeside (kun 6 pins skal kables op, uanset om det er en 8-pin eller 16-pin-chip, så det er fint med den her 10-pak).

Valgfri opgraderinger

Du kan vælge at opgradere nogle ting i din computer. Hvis du vil have en lidt kraftigere maskine skal du have:

Jeg anbefaler at du køber et nyt wifi-kort, der kan køre uden proprietær firmware. Du kan finde navne på wifi-chipsets der kan køre uden proprietær firmware her. De fleste wifi-kort er halvt størrelse af hvad der allerede sidder i en T500/W500, det gør ikke noget, de kan sagtens sidde i alligevel.

Hvis du skal installere en Quad-Core-CPU skal du også have et loddejern og tin. Jeg er ikke dygtig nok til at lodde til at vejlede i det, men jeg fornemmer at det er en god idé at bruge penge på et ordentligt loddejern. Jeg mistænker mit 30W Biltema-jern for ikke at blive varmt nok – i hvert fald virker det fuldstændigt umuligt at smelte tin med det ved at varme leddene. Tinnet smelter kun hvis jeg rører det direkte med jernet. Se loddesektionen i denne guide for nogle generelle tips.

Generelle købstips

Køb hellere fra Danmark hvis du kan. Gamle ThinkPads der kan Librebootes går ofte for omkring 500 kr. på DBA eller Facebook Marketplace. Jeg ødelagde min gamle computer og stod og manglede en computer. På det tidspunkt var der ikke lige nogen T500/W500-model til salg så jeg købte en fra eBay med en SSD i. Efter nogle få måneders brug gik hængslerne i stykker – dem erstattede jeg, hvorefter skruehullerne til hængslerne brækkede af. DVD-drevet virker heller ikke rigtigt i den og batteriet døde kort tid efter hænslerne. SSD'en der var smidt i er en af de billigste man kan købe og har en irriterende hvinen. Udover det havde lydjacket en irriterende bitcrush-agtig støj som gjorde at jeg måtte bruge jacket i et lille USB-lydkort i stedet.

Jeg købte herefter en brugt W500 på Facebook Marketplace, som indtil videre har kørt fejlfrit. Den har endda den største skærmopløsning og det største batteri man kan få i en T500/W500. Lydjacket og DVD-drevet virker også og den kom med både integreret og dedikeret grafik. Og så kostede den langt mindre end den fra eBay (som godt nok havde en SSD i, men det havde stadig været billigere hvis jeg købte en SSD ved siden af til den).

CPU, wifi-kort, pomona-clip og den rette type RAM kan være svære at finde i Danmark. Men generelt er det nok også bedre at købe enkelte dele fra steder som eBay end det er at købe hele computere.

Del 3: Libreboot-processen

Libreboot-processen består af følgende trin:

  1. Skil computeren ad til du kan komme ind til chippen
  2. Sæt clip på chippen og sæt kabler mellem clip og programmer
  3. Sæt programmeren i computeren og læs indholdet af chippen med flashrom nogle gange
  4. Sammenlign chippens indhold – læser du det samme flere gange har du en god forbindelse. Er der forskel i indholdet har du en dårlig forbindelse.
  5. Har du en god forbindelse kan du skrive Libreboot til chippen med flashrom.

Til at skille computeren ad anbefaler jeg denne guide. På samme hjemmeside ligger også guides til andre ThinkPad-modeller. Brug en anden guide til flashing-delen. Hans guide bruger egne scripts og Libreboot-builds som vil gøre det sværere at fejlsøge hvis du har problemer.

Hvilken Libreboot-rom skal jeg bruge?

Tag udgangspunkt i noget der bare burde virke første gang – brug en standard Libreboot release-rom uden modifikationer første gang du flasher. Når først du har flashet med eksternt udstyr én gang er chippen ikke længere skrivebeskyttet. Det betyder at du kan flashe den internt gennem software hvis du skal opdatere / ændre din Libreboot-version eller flashe noget helt andet til chippen. Hvis du vil ændre BIOS-indstillinger skal du ændre indstillingerne i en ROM med Libreboots nvramtool som er en del af Libreboots build-system, lbmk. Se hvordan du bruger nvramtool til at ændre BIOS-indstillinger her. Derefter kan du flashe rommen (internt gennem software) igen.

En anden ting du nok burde ændre på et tidspunkt er din MAC-adresse. Den ændres i flash, så alle maskiner der bruger standard Libreboot release-roms har i princippet den samme MAC-adresse. Dette kan give netværksproblemer hvis du nogensinde er forbundet til et netværk hvor der er en anden Librebootet computer med samme MAC-adresse tilsluttet. Se her for en forklaring og her for at se hvordan du ændrer MAC-adresse.

Under Downloads på Libreboot-hjemmesiden kan du finde release-roms. Jeg anbefaler at du bruger seneste release i stable-mappen. Find din model og den rigtige chipstørrelse, download og udpak. Chipstørrelsen kan læses i chippens datablad. Flashrom siger også hvad størrelsen er på chippen når du læser fra den hvis du ikke kan finde det i databladdet.

I den udpakkede mappe er en hel masse roms. Du kan vælge mellem SeaBIOS og GRUB. Begge dele er fint – GRUB bruges som bootloader af mange Linux-distributioner. Nogle maskiner har ikke både SeaBIOS og GRUB fordi de kun understøtter en af delene. I så fald vælger du bare hvad der er tilgængeligt. Jeg ved ikke om det er sådan for alle maskiner, men for T500/W500 indeholder alle roms både SeaBIOS og GRUB – man kan gå mellem de to når maskinen starter, forskellen er bare om Libreboot starter i GRUB eller SeaBIOS. Jeg foretrækker GRUB.

Udover det kan du vælge mellem libgfxinit_corebootfb eller libgfxinit_txtmode. Medmindre du har en grund til at vælge txtmode, såsom at installere BSD eller tilføje et grafikkort bør du vælge corebootfb.

Næste valg er tastaturlayout. Der er ikke et dansk tastaturlayout som standard, så jeg valgte svensk. Det er også ret ligemeget for det bestemmer kun hvilket tastaturlayout der bruges i GRUB-menuen ved opstart, så dit tastaturlayout i dit styresystem vil være hvad end du har sat det til i styresystemet.

Sidste valg er med eller uden microcode. Min forståelse er følgende: CPU'er indeholder proprietær microcode uanset hvad – det er ikke muligt at slippe for det. FSF gør en underlig undtagelse hvor de tillader proprietær microcode hvis det er inde i CPU'en, men ikke uden for CPU'en. Det betyder at FSF godtager gammel microcode som ligger inde i CPU'en, men ikke microcode-opdateringer som i grunden er små hotfixes CPU'en kan indlæse som ligger uden for CPU'en. Libreboot inkluderer som standard microcode-opdateringer af pragmatiske grunde fordi man alligevel ikke kan slippe for CPU-microcode – så det er bedre at have nyere microcode end ældre microcode. Forældet microcode giver ustabile computere og udgør en sikkerhedsrisiko – en réel risiko, ikke bare sådan en du-har-ikke-opdateret-din-android-telefon-i-en-måned-risiko. De roms der hedder nomicrocode indeholder ikke microcode-opdateringer – men CPU'en kører stadig proprietær microcode.

Proprietær microcode er, så vidt jeg kan vurdere, ikke en privatlivsmæssig byrde da det er meget begrænset hvad microcode kan – det er bare instrukser til processoren. I forhold til software-frihed ville det være bedre med åben microcode, men det findes ikke rigtigt. Så du kan vælge mellem forældet eller opdateret microcode – jeg foreslår derfor at du vælger en rom med microcode.

Nogle noter til flash-processen

Til flashing-processen kan du følge en video-guide som denne. Bruger du en Pi Pico, skal du følge trinnene her først. Yderligere noter:

Når du har flashet, kan du plugge display, tastatur og strøm i maskinen igen (strømmen til sidst for en sikkerheds skyld) og prøve at starte maskinen for at tjekke at det virker inden du samler den igen.

Ekstra: Quad Core Mod

Denne del er kun til hvis du vil installere en Quad Core-CPU i din T500/W500 eller lignende model. Når du smider en kraftigere processor der trækker mere strøm vil din computer blive varmere. Derfor modificerer nogle deres T500/W500 til at have et større luftindtag ved at bore hul i bunden ved køleren og dække hullet med net. Efter min mening er det overkill. Her er nogle benchmarks der viser at forskellen mellem almindeligt og større luftindtag nok ikke er så stor.

For mig bliver maskinen lidt over 70 grader hvis jeg spiller spil der også presser grafikkortet, den kritiske temperatur er 100 grader. Med powersave som CPU-governor bliver den ikke rigtigt varm.

Før i tiden skulle man selv compile Libreboot med understøttelse til 4 kerner, men siden version 20210522 understøtter Libreboot som standard 4 kerner i de modeller der kan køre Quad Core CPU'er. Brug derfor standard Libreboot release-roms for at gøre fejlsøgning lettere.

Quad Core Moddet består af 2 ting:

  1. Bræk forsigtigt nogle (5 stk) pins af CPU'en
  2. Lod et kabel mellem to punkter på motherboardet

Den første del er let hvis bare man gør det langsomt og roligt, den anden del kræver lidt mere.

Følg denne guide for at se hvordan du modificerer CPU'en og motherboardet til at understøtte en Quad Core CPU. Se også denne video og denne video.

Se også den her tråd som har lidt flere billeder. Ikke alle motherboards ser helt ens ud, prøv at finde et billede der ligner dit.

Sådan lykkedes det mig at lodde kablet på:

firkantet-del

Når du er færdig, kan du igen tjekke ved at plugge display, tastatur og strøm i maskinen inden du samler den igen. Hvis ikke den virker må du fjerne kablet og tin fra boardet og forsøge at lodde den igen.

BEMÆRK: computeren kan nogle gange godt starte selvom kablet ikke er loddet ordentligt på. Den kan endda bestå den memtest der er indbygget i Libreboot. I første forsøg troede jeg at den virkede fordi den kunne starte, alt virkede i Libreboot-menuen og den bestod memtest. Men da jeg forsøgte at boote et styresystem stoppede tastaturet med at virke, så jeg kunne ikke inputte mit password. Jeg forsøgte med forskellige Linux og BSD live-USB'er, de fleste ville ikke boote, og i dem der ville, virkede tastaturet ikke. Når man startede maskinen første gang virkede den ikke – ligesom en gammel bil krævede det nogle forsøg for at få den til at starte.

Udover det fik jeg en masse ACPI-errors. Jeg kunne kun boote fra en USB hvis jeg tilføjede acpi=off som boot-parameter i GRUB. Jeg endte med at SSH'e ind i computeren ved hjælp af denne guide og her stod det klart at Linux ikke kunne finde mere end 1 kerne i CPU'en og heller ikke kunne finde hverken tastatur eller touchpad.

Computeren burde altså starte første gang og burde kunne starte et styresystem, hvis du har gjort det rigtigt.

Andet

En anden fordel ved Libreboot er at du kan kryptere din boot-partition. Tidligere har man kun kunnet kryptere boot-partitionen med PBKDF2 key derivation (en ældre algoritme der er sårbar overfor GPU-baserede angreb), men Libreboot har netop i release 20231021 implementeret nogle GRUB-patches der gør at man kan kryptere boot-partitionen med argon2 key derivation (en nyere algoritme der ikke har samme sårbarheder). Jeg kommer nok til at kryptere min boot-partition når 20231021 rykker til stable-releases.