bump version to 1.44+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Merge tag 'debian/1.44' into proxmox/bookworm

releasing package shim-signed version 1.44

Release 1.44

With helpful fixes from Fabian Grünbichler

Merge branch 'fix-build' into 'master'

fix shim-helpers substvar handling

See merge request efi-team/shim-signed!2

d/rules: import architecture.mk earlier

else DEB_HOST_ARCH is not potentially not yet set and some invocations might
print a spurious warning.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

ensure shim-helpers is installed in build environment

else the dpkg-query doesn't work.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Fix broken usage of dpkg-query

bump version to 1.42+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Merge tag 'debian/1.42' into proxmox/bookworm

releasing package shim-signed version 1.42

Tweak versioning in runtime dependencies

using substvars to make things more automatic in future.

bump version to 1.41+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Release shim-signed 1.41 for sid

Remove obsolete override for shimia32.efi.signed

Switch from debian/compat to build-dep on debhelper-compat (= 13)

New signed binaries corresponding to 15.8-1

Update build-dep on shim-unsigned to use 15.8-1.
Update SBAT to revoke grub binaries with sbat < 4.
Stop building for i386.

bump version to 1.40+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

d/control: update shim and grub versions

and drop non-amd64 variants there as well.

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Add Romanian translation for debconf templates

thanks to Remus-Gabriel Chelu. Closes: #1039090

Stop recommending secureboot-db, we don't have that package

Closes: #1042964, #1041449, #932358

update to signed shim 15.8

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

bump version to 1.39+pmx1

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

adapt packaging to Proxmox

- set Maintainer and repo URLs
- delete arch files we don't currently ship
- add our first signed shim binary

Signed-off-by: Fabian Grünbichler <f.gruenbichler@proxmox.com>

Add Romanian translation for debconf templates

thanks to Remus-Gabriel Chelu. Closes: #1039090

Stop recommending secureboot-db, we don't have that package

Closes: #1042964, #1041449, #932358

Tweak dependencies between packages

Add some Closes:, let's kill some bugs! :-)

Add pt_BR translation, thanks to Paulo Henrique de Lima Santana

Closes: #1026415

postinst/postrm: make config_item() more robust

Update Depends on grub2-common

Tweak changelog

Verify on all arches now

Remove the NEWS file, now we have working arm64 shim-signed

Fix up lintian overrides

New signed binaries corresponding to 15.7-1

  We now have arm64 signed shims again \o/
Closes: #1008942, #992073
  Pulls multiple other bugfixes in for the signed version:
    Make sbat_var.S parse right with buggy gcc/binutils
    Enable NX support at build time, as required by policy for signing
    new shim binaries.

  Update build-dep on shim-unsigned to use 15.7-1
  Block Debian grub binaries with sbat < 4 (see #1024617)

Update build-dep on shim-unsigned to use 15.4-7

Tweak how we call grub-install; don't abort on error

Not ideal behaviour either, but don't break upgrades. Copy the
behaviour from the grub packages here. Closes: #990984

New signed binaries based on shim 15.4-6

Pulls multiple bugfixes in for the signed version:

 * Add arm64 patch to tweak section layout and stop crashing
   problems. Upstream issue #371. (#990082, #990190)
 * In insecure mode, don't abort if we can't create the MokListXRT
   variable. Upstream issue #372. (#989962, #990158)

Update build-dep on shim-unsigned to use 15.4-6~deb10u1

Fix duplicated word in the NEWS file

Update build-dep on shim-unsigned to use 15.4-5

Add defensive code around calls to db_get

Don't fail if they return errors. Closes: #988114

Update build-dep on shim-unsigned

Fix the old doc links for shim-signed. Closes: #988057

If we're not running on an EFI system then exit cleanly

in postinst and postrm. We have nothing to do here. Closes: #988059

Add explicit dependency from shim-signed to shim-signed-common

Closes: #988047, #988056

Release shim-signed 1.34 for sid

Add a NEWS file for shim-signed to talk about arm64

As it's in the package now, no need to link to the wiki.

This upload closes #987991 as well

Document the maint script changes in the changelog

Only run grub-install if we're actually running on an EFI system

Try to avoid errors if people are doing weird things

Move grub-install bits from the -common postinst

There's no guarantee that it will be called when needed, so switch to
the binary packages instead.

Also add a shim-signed.postrm

Similarly to the postinst, we need to call grub-install to ensure the
boot chain is correct. If we're being remove, *again* work out the
right grub EFI target arch and the grub-install options so we can call
grub-install safely.

Also: grub-install won't clean up after us if we've been uninstalled,
so also go and remove the shim binary from the ESP.

Important bugfixes for shim-signed-common.postinst

As we're calling grub-install and specifying the target EFI arch, make
sure that we're using the *right* EFI arch. If we're on a mixed-mode
x86 system (32-bit UEFI, 64-bit CPU), that means that we need to be
specifying i386-efi here.

Also check to see if grub-efi has been configured to use
--force-extra-removable or --no-nvram. If we're calling grub-install
here, then it's important we follow the same rules or we may end up
breaking installations. :-/

Fix typo

Fix command-line arguments for dh_gencontrol

The arguments going to dh_gencontrol need to e before the -- , doh!

Typo fix - remove space

Add Spanish translation for debconf templates

Thanks to Camaleón. Closes: #987339

Tweak dh_install* usage for docs

Newer versions of debhelper are not happy about setting up
cross-package links for (e.g.) copyright and changelog files between
binary-any and binary-all packages. Stop trying to do that now, just
include them in both the shim-signed and shim-signed-common packages
separately.

Don't include apport stuff in the Debian build, it's not useful

Tweak the Makefile setup

"make check" should not matter in terms of the package build.
Closes: #936002

The new shim build means we can close #971129

Tweak arm64 building a lot

And various other minor packaging tweaks

Add a different description at package build time to warn users that
shim-signed on arm64 is *not* actually signed. Add a doc link to the
wiki for more details.

Comment out a lintian override for arm64

Add the new signed binaries based on 15.4-2

Prepare 1.33 release

Ignore generated files

Display the sha256sums of the binaries as we check them

Drop the hard-coded version in Built-Using

Pick up the version of shim we're using properly.

Update to use the new signed binaried

* Build against new signed binaries corresponding to
  15+1533136590.3beb971-7
* Update Build-Depends and Depends to match. Closes: #928107

New signed binaries from Microsoft

From "Signed_14173467011297444.zip"
Correspond to sources from shim-unsigned 15+1533136590.3beb971-7

Prepare 1.32 release

Add Breaks/Replaces to shim-signed-common

For update-secureboot-policy etc. Closes: #929673

Remove doc link used to quieten old lintian versions

Prepare 1.31 release

Move the translation bits to the -common package

Updated Dutch translation

Closes: #917580, #926664, thanks to Frans Spiesschaert

Add Russian translation

Closes: #922229, thanks to Lev Lamberov

Add Swedish translation

Closes: #921410, thanks to Matrin Bagge

Add Italian translation

Closes: #915993, thanks to Beatrice Torracca

Separate the helper scripts into a new shim-signed-common package

Separate this from the actual signed shim binaries so that we can
sensibly support co-installability using Multi-Arch. Closes: #928486

fix error if /var/lib/dkms does not exist. Closes: #923718

Release 1.30

Force the built-using version to be 15+1533136590.3beb971-6

That *does* match the source we've used, we're only using -5 due to
toolchain changes elsewhere. dak rejected us when using -5. Ick :-(

Really release 1.29

Update Standards-Version to 4.3.0

No changes needed...

Add lintian overrides for source-contains-prebuilt-windows-binary

Nothing we can do about this - this is how the package works!

Add Vcs-* fields for the shim-signed repo on salsa

Explain why we need a newer version of sbsigntool

Install the correct binary for this arch

For grub-install, work out the right target name

Don't assume that we're on amd64 so we want x86_64-efi ...

Release shim-signed version 1.29

Specifically depend on sbsigntool (>= 0.9.2-2)

To fix a bug in the PE/COFF checksum that otherwise breaks the build

Grab the version of shim-unsigned in debian/rules, not shim

Update changelog, describe what I've done

Add the new binaries as signed by MS

Instead of hard-coding amd64 (x64), use a per-arch variable

Update copyright file

Stop copying helper binaries into our package now

We just depend on shim-helpers-ARCH-signed now, much better

Tweak the binary package setup a lot

 * We're now building for 3 arches
 * Depend on the right grub-efi-$arch-bin package Gfor each arch
 * Depend on the right shim-helpers-$arch-signed package for each
   arch
 * Remove the old Replaces: and Breaks:, as we don't clash with files
   from the shim binary package any more.

Update the build-deps for a new upload:

 * Specific version of shim-unsigned to avoid the binary changes
   caused by toolchain updates between -5 and -6
 * We now don't care about the version of sbsigntool, hopefully!

Change maintainer to be the EFI team

Add me and Steve Langasek as uploaders

New upload to fix bugs

* Add Breaks: shim (<= 0.9+1474479173.6c180c6-1), Closes: #924100
* +nmu2 fixed the installability problem caused by waiting for