[devel] Kernel lockdown in UEFI Secure Boot mode

[Egor Ignatov <egori@altlinux.org>]

Всем добрый день!

В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown режим 
будет принудительно включаться при загрузке в UEFI Secure Boot. Для 
большинства пользователей это изменение никак не повлияет на работу 
системы. При этом режим lockdown накладывает ряд ограничений, которые в 
некоторых сценариях могут затрагивать работу отдельных системных функций 
и возможностей.

Изменения касаются пользователей, у которых:
- Система установлена в режиме UEFI
- Включен режим UEFI Secure Boot

Основные ограничения режима lockdown:
- Ограничено использование незашифрованного swap для гибернации и сна
- Ограничена загрузка неподписанных модулей ядра
- Ограничена загрузка неподписанных бинарных файлов через kexec
Подробнее см. kernel_lockdown(7).

Out-of-Tree модули ядра из репозитория:
На данный момент сборочница уже подписывает Out-of-Tree модули, поэтому 
в режиме lockdown они продолжат загружаться как обычно.

Q&A:
Q: Как отключить kernel_lockdown?
A: Выключить режим Secure Boot в настройках UEFI.

Q: Можно ли отключить kernel_lockdown, при этом оставив Secure Boot 
включенным?
A: Да, для этого необходимо выполнить `mokutil --disable-validation` в 
терминале от root-пользователя и следовать дальнейшим инструкциям.

Q: Перестала работать гибернация/сон, что делать?
A: Нужно отключить kernel_lockdown, как описано выше.

Q: Как загрузить свой (сторонний) модуль ядра?
A: Либо создать собственный ключ для подписи, зарегистрировать его в 
UEFI MOK[1] и подписать им модуль; либо отключить проверку подписи 
модулей (см. выше) и загрузить как обычно.

[1] https://blogs.oracle.com/linux/the-machine-keyring
-- 
Egor Ignatov
ALT Linux Team