По SB сперва надо будет осмотреть и подбить варианты подхода -- читал малость.

Видимо, стоит серьезно рассмотреть вариант http://www.linuxfoundation.org/news-media/blogs/browse/2012/10/linux-foundation-uefi-secure-boot-system-open-source

Краткая сводка с полей:
1) простая задача потребовала ещё более простой -- возможности оценить работоспособность полученного, бишь загрузиться в EFI-режиме;
2) для этого пришлось почитать про (U)EFI как таковое, попытаться задействовать реализацию в сизифном virtualbox, купить материнку для стендовых испытаний, научиться хоть как-то на ней что-то своё бутать в EFI-режиме (что было достигнуто позавчера при помощи простенького elilo, уже отправленного в сизиф);
3) вторая задача -- не просто сложная, а отдельная бага и для её реализации придётся дорабатывать минимум пару пакетов из составляющих инсталятор (это если у меня получится собрать неконфликтующие grub2-pc и grub2-efi, как в opensuse/fedora, и соответственно избежать необходимости доустановки чего-то одного из них в alterator-grub);
4) по secureboot бага также отдельная и на инсталер/alterator-grub, хотя для возможности тестирования в паузах уже собрал efitools и sbsigntools (само тестирование на kvm с опубликованным firmware пока не пытался даже производить, соответственно и пакеты пока не отправлял никуда).

Также намереваюсь прекратить практику сопровождения двух форков исходного пакета grub2, для чего и перерабатываю спек для сборки в два присеста двух вариантов (опять же по примеру opensuse/fedora).

(In reply to comment #3)
> 1) простая задача потребовала ещё более простой -- возможности оценить
> работоспособность полученного, бишь загрузиться в EFI-режиме;
Вчера было выполнено.

> 3) вторая задача -- не просто сложная, а отдельная бага и для её реализации
> придётся дорабатывать минимум пару пакетов из составляющих инсталятор (это если
> у меня получится собрать неконфликтующие grub2-pc и grub2-efi, как в
> opensuse/fedora, и соответственно избежать необходимости доустановки чего-то
> одного из них в alterator-grub);
Получилось, можно оформлять и смотреть более предметно.

> Также намереваюсь прекратить практику сопровождения двух форков исходного
> пакета grub2, для чего и перерабатываю спек для сборки в два присеста двух
> вариантов (опять же по примеру opensuse/fedora).
Прекратил, теперь свожу разошедшиеся бранчи.

Решение простой задачи поехало в сизиф:
task #84349: added #100: build tag "2.00-alt4" from /people/mike/packages/grub2.git

Багу переформулирую как миниметабаг про сложную.  Снимаю блокер на bug 27803, т.к. технически связаны были задачи обновления (вследствие мержа grub2-pc.spec и grub2-efi.spec), которые решены.

(In reply to comment #2)
> http://www.linuxfoundation.org/news-media/blogs/browse/2012/10/linux-foundation-uefi-secure-boot-system-open-source
http://blog.hansenpartnership.com/adventures-in-microsoft-uefi-signing/

Сокращение иерархии: 27941 и 27971 теперь блокируют метабагу 27685 напрямую, потому 27804 не является блокером 27865.

Обе задачи уже некоторое время как решены; остаётся подровнять и проверить ещё одно изменение (недостаточно обдуманно передавал --bootloader-id="ALT Linux" -- именно с пробелом; а надо было внимательней почитать grub-install в части про efibootmgr и поправить, чтобы label и distributor могли отличаться, там грубые намётки в нужную сторону уже есть).  Это в работе и IMHO не блокирует данную метабагу.