Il ne s'agit pas d'un bogue, mais d'une fonctionnalité.
Comme le dit Anthony Wong, lorsque vous installez un paquet DKMS, vous compilez le paquet vous-même, Canonical ne peut donc pas signer le module pour vous.
Cependant, vous pouvez tout à fait utiliser Secure Boot, mais c'est exactement le cas d'utilisation où Secure Boot essaie de vous protéger de vous-même parce qu'il ne peut pas savoir si vous faites confiance à un module ou non.
Par défaut Il existe une clé de plate-forme (PK) sur votre machine UEFI, qui est l'autorité de certification de confiance ultime pour le chargement du code dans votre processeur.
Grub, ou shim, ou autre les mécanismes de démarrage peuvent être signés numériquement par un KEK auquel l'autorité de certification racine (PK) fait confiance, et votre ordinateur peut ainsi, sans aucune configuration, démarrer des logiciels tels que les USB/DVD Ubuntu Live.
Sur Ubuntu 16.04, le noyau est construit avec CONFIG_MODULE_SIG_FORCE=1, ce qui signifie que le noyau imposera que les modules soient signés par une clé de confiance dans la plate-forme. Tenez compte du fait que la plateforme UEFI contient par défaut une clé PK sur laquelle vous n'avez aucun contrôle, et que vous ne pouvez donc pas signer les binaires avec une clé reconnue par votre propre machine.
Certaines personnes s'en plaignent, mais il n'y a pas de meilleur moyen (du point de vue de la sécurité) que d'enregistrer soi-même la nouvelle clé que l'on veut.
Si votre système de démarrage utilise shim, vous pouvez utiliser une base de données appelée Machine Owner's Key (clé du propriétaire de la machine), et inscrire votre clé en tant que MOK (Vous pouvez le faire avec mokutil). Si ce n'est pas le cas, vous pouvez également enregistrer votre clé dans la base de données UEFI comme clé de signature.
Après avoir enregistré votre clé, vous pouvez signer votre paquet construit par DKMS avec votre MOK (il devrait y avoir un script perl à /usr/src/kernels/$(uname -r)/scripts/sign-file ), y une fois qu'il est signé, vous pouvez le charger dans le noyau .
Il est vrai que quelqu'un devrait fournir des instructions plus visuelles à ce sujet, et probablement même créer un assistant ou une meilleure norme DKMS pour permettre la prise en compte des clés, mais c'est ce que nous avons pour l'instant.
Vous pouvez vous référer à cette explication sur la façon de signer vos propres modules de noyau : https://askubuntu.com/a/768310/12049
