[d-kernel] Q: lock down kernel and dkms

[d-kernel] Q: lock down kernel and dkms

[Konstantin Lepikhov]

Привет!

А можно уточнить, будут ли загружаться теперь модули, собранные dkms для
ядер в сизифе? Т.к. для них никто подписывание запускать не будет,
предполагаю, что и модули не загрузятся. В связи с этим, что мы будем
делать с dkms? Выкидывать его из сизифа?

-- 
WBR et al.

Re: [d-kernel] Q: lock down kernel and dkms

[Ivan A. Melnikov]

On Tue, Aug 04, 2026 at 11:21:48AM +0200, Konstantin Lepikhov wrote:
> Привет!
> 
> А можно уточнить, будут ли загружаться теперь модули, собранные dkms для
> ядер в сизифе? Т.к. для них никто подписывание запускать не будет,
> предполагаю, что и модули не загрузятся.

Для загрузки модулей, собраных dkms, доступны те же опции, что
и для любых других самосборных модулей. Если верить анонсу[1], это:
1. создать собственный ключ для подписи, зарегистрировать его в 
UEFI MOK и подписать им модуль;
2. отключить проверку подписи модулей и загрузить как обычно.

[1] https://lore.altlinux.org/devel/b37a5492-f906-44c9-bb8f-eac1d61ede60@altlinux.org/

Актуальные версии dkms позволяют автоматизировать подпись собираемых
им модулей (см. опции mok_signing_key и mok_certificate) тем,
кто пойдёт первым путём.

> В связи с этим, что мы будем делать с dkms?

Не думаю, что с ним что-то нужно делать именно в связи с этим,
но давайте попробуем уточнить у мейнтейнера dkms. Андрей?

-- 
  wbr,
    iv m.

Re: [d-kernel] Q: lock down kernel and dkms

[Konstantin Lepikhov]

Hi Ivan!

On 08/04/2026, at 01:50:26 PM you wrote:

> On Tue, Aug 04, 2026 at 11:21:48AM +0200, Konstantin Lepikhov wrote:
> > Привет!
> > 
> > А можно уточнить, будут ли загружаться теперь модули, собранные dkms для
> > ядер в сизифе? Т.к. для них никто подписывание запускать не будет,
> > предполагаю, что и модули не загрузятся.
> 
> Для загрузки модулей, собраных dkms, доступны те же опции, что
> и для любых других самосборных модулей. Если верить анонсу[1], это:
> 1. создать собственный ключ для подписи, зарегистрировать его в 
> UEFI MOK и подписать им модуль;
> 2. отключить проверку подписи модулей и загрузить как обычно.
> 
> [1] https://lore.altlinux.org/devel/b37a5492-f906-44c9-bb8f-eac1d61ede60@altlinux.org/
> 
> Актуальные версии dkms позволяют автоматизировать подпись собираемых
> им модулей (см. опции mok_signing_key и mok_certificate) тем,
> кто пойдёт первым путём.
т.е. подобный подход (с регистрацией своего сертификата MOK) ничем не
отличается от ручной сборки по количеству телодвижений. Зачем тогда dkms?

Вся эта фигня с lockdown очень похожа hit'n'run - кто-то из ООО приказал,
взяли и сделали, а что там в сизифе будет как-то по ходу подрихтуем.

> 
> > В связи с этим, что мы будем делать с dkms?
> 
> Не думаю, что с ним что-то нужно делать именно в связи с этим,
> но давайте попробуем уточнить у мейнтейнера dkms. Андрей?
Нужна либо страница с описанием всех действий по активации dkms где-то на
wiki (или мб в самом пакете dkms как README.ALT), либо просто уже убрать
dkms из репозитория, чтобы никто не ходил по этим граблям снова и снова.

-- 
WBR et al.