VirtualBox + Secure Boot + Ubuntu = échec

Le problème est l'exigence que tous les modules du noyau doivent être signés. par une clé approuvée par le système UEFI, sinon le chargement échoue. Ubuntu ne signe pas les modules de noyau tiers vbox*, mais donne plutôt à l'utilisateur l'option de désactiver le démarrage sécurisé lors de l'installation du logiciel. mais donne à l'utilisateur la possibilité de désactiver Secure Boot lors de l'installation de la paquet virtualbox. Je pourrais faire cela, mais je verrais alors apparaître un message ennuyeux "Booting in insecure mode" à chaque fois que la machine démarrage de la machine, et l'installation de Windows 10 en double amorçage que j'ai ne fonctionnerait pas.

Ubuntu 16.04 sur un Dell Latitude E7440 avec BIOS A18, et avec une installation Windows 10 en double boot.

Le crédit va à la principale source d'information que j'ai utilisée pour résoudre ce problème, qui s'applique spécifiquement à Fedora/Redhat : http://gorka.eguileor.com/vbox-vmware-in-secureboot-linux-2016-update/

Et une question pertinente de Ask Ubuntu : Impossible de charger 'vboxdrv' après la mise à jour vers Ubuntu 16.04 (et je veux conserver le démarrage sécurisé)

Étapes pour le faire fonctionner, spécifiquement pour Ubuntu/Debian

1. Installez le paquetage virtualbox. Si l'installation détecte que Secure Boot est activé, le problème sera présenté comme suit et vous aurez la possibilité de désactiver Secure Boot. Choisissez "Non".

2. Créez une paire de clés RSA publique/privée personnelle qui sera utilisée pour signer les modules du noyau. J'ai choisi d'utiliser le compte root et le répertoire /root/module-signing/ pour stocker tout ce qui concerne la signature des modules du du noyau.

   $ sudo -i
   # mkdir /root/module-signing
   # cd /root/module-signing
   # openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=YOUR_NAME/"
   [...]
   # chmod 600 MOK.priv

3. Utilisez l'utilitaire MOK ("Machine Owner Key") pour importer la clé publique afin qu'elle puisse être reconnue par le système. Il s'agit d'un processus en deux étapes où la clé est d'abord importée, puis doit être enrôlée lorsque le la machine est démarrée la fois suivante. Un simple mot de passe est suffisant, puisqu'il ne s'agit que d'une utilisation temporaire.

   # mokutil --import /root/module-signing/MOK.der
   input password:
   input password again:

4. Redémarrez la machine. Lorsque le chargeur de démarrage démarre, l'utilitaire EFI MOK manager devrait démarrer automatiquement. Il demandera des parties du mot de passe fourni à l'étape 3. Choisissez "Enroll MOK", alors vous devriez voir la clé importée à l'étape 3. Terminez les étapes d'inscription, puis continuez avec le démarrage. Le noyau Linux enregistrera les clés qui sont chargées. chargées, et vous devriez être capable de voir votre propre clé avec la commande : dmesg|grep 'EFI: Loaded cert'

5. En utilisant un utilitaire de signature livré avec les fichiers de construction du noyau, signez tous les modules VirtualBox en utilisant la clé privée MOK générée à l'étape 2. Je mets ceci dans un petit script /root/module-signing/sign-vbox-modules Il peut donc être facilement exécuté lorsque de nouveaux noyaux sont installés dans le cadre de mises à jour régulières :

   #!/bin/bash
   
   for modfile in $(dirname $(modinfo -n vboxdrv))/*.ko; do
     echo "Signing $modfile"
     /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 \
                                   /root/module-signing/MOK.priv \
                                   /root/module-signing/MOK.der "$modfile"
   done

   Et puis :

   # chmod 700 /root/module-signing/sign-vbox-modules

6. Exécutez le script de l'étape 5 en tant que root. Vous devrez exécuter la signature script à chaque fois qu'une nouvelle mise à jour du noyau est installée, puisque ceci provoquera une reconstruction des modules tiers de VirtualBox. Utilisez le script seulement après que le nouveau noyau ait été démarré, puisqu'il s'appuie sur le module modinfo -n y uname -r pour indiquer pour quelle version du noyau il faut signer.

7. Chargez le module vboxdrv et démarrez VirtualBox :

   # modprobe vboxdrv

Cette procédure peut également être utilisée pour signer d'autres noyaux de tiers. tiers, comme les pilotes graphiques nvidia, si cela est nécessaire. (J'ai pas testé cela moi-même).

Note : La réponse ci-dessus est entièrement tirée de l'article du blog d'Øyvind Stegard, VirtualBox + Secure Boot + Ubuntu = échec .