Re: [d-kernel] Q: lock down kernel and dkms

["Ivan A. Melnikov" <iv@altlinux.org>]

On Tue, Aug 04, 2026 at 11:21:48AM +0200, Konstantin Lepikhov wrote:
> Привет!
> 
> А можно уточнить, будут ли загружаться теперь модули, собранные dkms для
> ядер в сизифе? Т.к. для них никто подписывание запускать не будет,
> предполагаю, что и модули не загрузятся.

Для загрузки модулей, собраных dkms, доступны те же опции, что
и для любых других самосборных модулей. Если верить анонсу[1], это:
1. создать собственный ключ для подписи, зарегистрировать его в 
UEFI MOK и подписать им модуль;
2. отключить проверку подписи модулей и загрузить как обычно.

[1] https://lore.altlinux.org/devel/b37a5492-f906-44c9-bb8f-eac1d61ede60@altlinux.org/

Актуальные версии dkms позволяют автоматизировать подпись собираемых
им модулей (см. опции mok_signing_key и mok_certificate) тем,
кто пойдёт первым путём.

> В связи с этим, что мы будем делать с dkms?

Не думаю, что с ним что-то нужно делать именно в связи с этим,
но давайте попробуем уточнить у мейнтейнера dkms. Андрей?

-- 
  wbr,
    iv m.