From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: X-Spam-Checker-Version: SpamAssassin 3.4.1 (2015-04-28) on sa.local.altlinux.org X-Spam-Level: X-Spam-Status: No, score=-1.9 required=5.0 tests=BAYES_00 autolearn=unavailable autolearn_force=no version=3.4.1 Date: Tue, 4 Aug 2026 13:44:30 +0200 From: Konstantin Lepikhov To: devel-kernel@lists.altlinux.org Message-ID: Mail-Followup-To: devel-kernel@lists.altlinux.org, Andrey Cherepanov References: MIME-Version: 1.0 Content-Type: text/plain; charset=utf-8 Content-Disposition: inline Content-Transfer-Encoding: 8bit In-Reply-To: X-Operation-System: ALT Regular Sisyphus 6.18.0-lks-wks-alt4.40 User-Agent: Mutt/2.3.3 (2026-06-12) Cc: Andrey Cherepanov Subject: Re: [d-kernel] Q: lock down kernel and dkms X-BeenThere: devel-kernel@lists.altlinux.org X-Mailman-Version: 2.1.12 Precedence: list Reply-To: ALT Linux kernel packages development List-Id: ALT Linux kernel packages development List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Tue, 04 Aug 2026 11:44:44 -0000 Archived-At: List-Archive: List-Post: Hi Ivan! On 08/04/2026, at 01:50:26 PM you wrote: > On Tue, Aug 04, 2026 at 11:21:48AM +0200, Konstantin Lepikhov wrote: > > Привет! > > > > А можно уточнить, будут ли загружаться теперь модули, собранные dkms для > > ядер в сизифе? Т.к. для них никто подписывание запускать не будет, > > предполагаю, что и модули не загрузятся. > > Для загрузки модулей, собраных dkms, доступны те же опции, что > и для любых других самосборных модулей. Если верить анонсу[1], это: > 1. создать собственный ключ для подписи, зарегистрировать его в > UEFI MOK и подписать им модуль; > 2. отключить проверку подписи модулей и загрузить как обычно. > > [1] https://lore.altlinux.org/devel/b37a5492-f906-44c9-bb8f-eac1d61ede60@altlinux.org/ > > Актуальные версии dkms позволяют автоматизировать подпись собираемых > им модулей (см. опции mok_signing_key и mok_certificate) тем, > кто пойдёт первым путём. т.е. подобный подход (с регистрацией своего сертификата MOK) ничем не отличается от ручной сборки по количеству телодвижений. Зачем тогда dkms? Вся эта фигня с lockdown очень похожа hit'n'run - кто-то из ООО приказал, взяли и сделали, а что там в сизифе будет как-то по ходу подрихтуем. > > > В связи с этим, что мы будем делать с dkms? > > Не думаю, что с ним что-то нужно делать именно в связи с этим, > но давайте попробуем уточнить у мейнтейнера dkms. Андрей? Нужна либо страница с описанием всех действий по активации dkms где-то на wiki (или мб в самом пакете dkms как README.ALT), либо просто уже убрать dkms из репозитория, чтобы никто не ходил по этим граблям снова и снова. -- WBR et al.