Pourquoi le message "Required key not available" apparaît-il lors de l'installation de modules de noyau tiers ou après une mise à jour du noyau ?

Comme Proposition de par l'utilisateur @zwets, que je copie (avec modifications) une réponse ici :

Depuis la version 4.4.0-20 du noyau, il était obligatoire de respecter les règles suivantes non signé Les modules du noyau ne seront pas autorisés à s'exécuter avec Secure Boot activé. Si vous voulez garder Secure Boot et exécute également ces modules, la prochaine étape logique consiste à signe ces modules.

Alors essayons.

1. Créer des clés de signature

   openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=Descriptive name/"

2. Signer le module

   sudo /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der /path/to/module

Note 1 : Il peut y avoir plusieurs fichiers à signer pour un seul pilote/module, donc /path/to/module peut devoir être remplacé par $(modinfo -n <modulename>) par exemple $(modinfo -n vboxdrv)

Note 2 : sudo kmodsign sha512 ./MOK.priv ./MOK.der /path/to/module est une alternative si sign-file n'est pas disponible.

3. Enregistrer les clés de Secure Boot

   sudo mokutil --import MOK.der

   Fournir un mot de passe pour une utilisation ultérieure après le redémarrage

4. Reboot et suivez les instructions pour enregistrer la MOK (Machine Owner Key). Voici un échantillon avec des photos. Le système va redémarrer une fois de plus.

Si la clé a été enregistrée correctement, elle apparaîtra sous la rubrique sudo mokutil --list-enrolled .

Veuillez me faire savoir si vos modules fonctionneraient de cette manière sur Ubuntu 16.04 (sur le noyau 4.4.0-21, je crois).

Ressources : Site web détaillé article pour Fedora y Mise en œuvre d'Ubuntu de la signature du module. (ils y ont travaillé) ;-)

Ressource supplémentaire : J'ai créé un bash script pour mon propre usage chaque fois que virtualbox-dkms met à jour et écrase ainsi les modules signés. Consultez mon vboxsign à l'origine sur GitHub .

Note supplémentaire pour la sécurité (extra-)consciente : ;-)

Puisque la clé privée que vous avez créée ( MOK.priv dans cet exemple) peut être utilisé par quiconque peut y avoir accès, il est de bonne pratique de le garder en sécurité. Vous pouvez chmod le, crypter ( gpg ), ou le stocker dans un autre endroit sûr(r). Ou, comme noté dans ce commentaire supprimer l'option -nodes à l'étape numéro 1. Cela va crypter la clé avec une phrase de passe.

Vous pouvez désactiver Secure Boot (UEFI) dans le BIOS en procédant comme suit :

1. Redémarrez votre machine et entrez dans le menu BIOS (dans mon cas, appuyez sur F2).

2. Recherchez Secure Boot et passez à Legacy

Dans une carte mère ASUS :

• Passez au mode avancé (F7)
• Allez dans l'option Secure Boot sous la section Boot.
• Remplacez "Windows UEFI mode" par "Other OS".
• Enregistrer et redémarrer pour appliquer les paramètres (F10)

Vous pouvez également désactiver Secure Boot dans l'exécution de shim-signed sudo update-secureboot-policy . Ce site page du wiki explique cette méthode :

• Ouvrez un terminal (Ctrl + Alt + T), et exécutez sudo update-secureboot-policy, puis sélectionnez Oui.
• Saisissez un mot de passe temporaire de 8 à 16 chiffres. (Par exemple, 12345678, nous utiliserons ce mot de passe plus tard).
• Saisissez à nouveau le même mot de passe pour confirmer.
• Redémarrez le système et appuyez sur n'importe quelle touche lorsque vous voyez l'écran bleu (gestion MOK).
• Sélectionnez Change Secure Boot state
• Saisissez le mot de passe que vous avez sélectionné à l'étape 2 et appuyez sur Entrée.
• Sélectionnez Oui pour désactiver Secure Boot dans shim-signed.
• Appuyez sur la touche Entrée pour terminer toute la procédure.

Vous pouvez toujours activer Secure Boot dans shim-signed à nouveau. Exécutez simplement

sudo update-secureboot-policy --enable et ensuite suivez les étapes ci-dessus