[devel] Kernel lockdown in UEFI Secure Boot mode

[devel] Kernel lockdown in UEFI Secure Boot mode

[Egor Ignatov]

Всем добрый день!

В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown режим 
будет принудительно включаться при загрузке в UEFI Secure Boot. Для 
большинства пользователей это изменение никак не повлияет на работу 
системы. При этом режим lockdown накладывает ряд ограничений, которые в 
некоторых сценариях могут затрагивать работу отдельных системных функций 
и возможностей.

Изменения касаются пользователей, у которых:
- Система установлена в режиме UEFI
- Включен режим UEFI Secure Boot

Основные ограничения режима lockdown:
- Ограничено использование незашифрованного swap для гибернации и сна
- Ограничена загрузка неподписанных модулей ядра
- Ограничена загрузка неподписанных бинарных файлов через kexec
Подробнее см. kernel_lockdown(7).

Out-of-Tree модули ядра из репозитория:
На данный момент сборочница уже подписывает Out-of-Tree модули, поэтому 
в режиме lockdown они продолжат загружаться как обычно.

Q&A:
Q: Как отключить kernel_lockdown?
A: Выключить режим Secure Boot в настройках UEFI.

Q: Можно ли отключить kernel_lockdown, при этом оставив Secure Boot 
включенным?
A: Да, для этого необходимо выполнить `mokutil --disable-validation` в 
терминале от root-пользователя и следовать дальнейшим инструкциям.

Q: Перестала работать гибернация/сон, что делать?
A: Нужно отключить kernel_lockdown, как описано выше.

Q: Как загрузить свой (сторонний) модуль ядра?
A: Либо создать собственный ключ для подписи, зарегистрировать его в 
UEFI MOK[1] и подписать им модуль; либо отключить проверку подписи 
модулей (см. выше) и загрузить как обычно.

[1] https://blogs.oracle.com/linux/the-machine-keyring
-- 
Egor Ignatov
ALT Linux Team

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Alexei Takaseev]

Добрый день!

В Ср, 03/06/2026 в 12:33 +0300, Egor Ignatov пишет:
> 
> Out-of-Tree модули ядра из репозитория:
> На данный момент сборочница уже подписывает Out-of-Tree модули,
> поэтому в режиме lockdown они продолжат загружаться как обычно.
> 

Было бы очень полезно, выложить на вики инструкцию как сейчас надо
собирать OOT-модули в Сизиф/бранчи в плане подготовки сборочного
задания.

[некоторый оффтоп]
> Q: Как загрузить свой (сторонний) модуль ядра?
> A: Либо создать собственный ключ для подписи, зарегистрировать его в 
> UEFI MOK[1] и подписать им модуль; либо отключить проверку подписи 
> модулей (см. выше) и загрузить как обычно.
> 
> [1] https://blogs.oracle.com/linux/the-machine-keyring

А не стрёмно выдавать кому-то там такой замечательный выключатель для
собственных систем? То, что им не преминут воспользоваться, когда его
заметят, это к гадалке не ходи. Вон, в свободно-свободном Let's Encript
спокойно ввели правило, в корне противоречившее уставу, и никого это не
смутило.

[/некоторый оффтоп]

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Farygin]

On 6/15/26 12:44, Alexei Takaseev wrote:
> А не стрёмно выдавать кому-то там такой замечательный выключатель для
> собственных систем? То, что им не преминут воспользоваться, когда его
> заметят, это к гадалке не ходи. Вон, в свободно-свободном Let's Encript
> спокойно ввели правило, в корне противоречившее уставу, и никого это не
> смутило.

нет, т.к. подпись модулей не связана с подписью загрузчика.

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Gorlov]

03.06.2026 12:33, Egor Ignatov пишет:
> Всем добрый день!
> 
> В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown режим 
> будет принудительно включаться при загрузке в UEFI Secure Boot. Для 
> большинства пользователей это изменение никак не повлияет на работу 
> системы. При этом режим lockdown накладывает ряд ограничений, которые в 
> некоторых сценариях могут затрагивать работу отдельных системных функций 
> и возможностей.
А не стоит ли паковать ядра с на столько закрученными гайками в 
отдельный пакет? На сколько оно реально нужно в обычных ядрах не для 
спец дистрибутивов?

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Farygin]

On 6/20/26 14:44, Anton Gorlov wrote:
> 03.06.2026 12:33, Egor Ignatov пишет:
>> Всем добрый день!
>>
>> В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown 
>> режим будет принудительно включаться при загрузке в UEFI Secure Boot. 
>> Для большинства пользователей это изменение никак не повлияет на 
>> работу системы. При этом режим lockdown накладывает ряд ограничений, 
>> которые в некоторых сценариях могут затрагивать работу отдельных 
>> системных функций и возможностей.
> А не стоит ли паковать ядра с на столько закрученными гайками в 
> отдельный пакет? На сколько оно реально нужно в обычных ядрах не для 
> спец дистрибутивов?
>
Обычное  ядро, ничем особенным для рядового использования не отличается 
от остального.

Чем-то мешает ?

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Gorlov]

20.06.2026 14:58, Anton Farygin пишет:

>>> В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown 
>>> режим будет принудительно включаться при загрузке в UEFI Secure Boot. 
>>> Для большинства пользователей это изменение никак не повлияет на 
>>> работу системы. При этом режим lockdown накладывает ряд ограничений, 
>>> которые в некоторых сценариях могут затрагивать работу отдельных 
>>> системных функций и возможностей.
>> А не стоит ли паковать ядра с на столько закрученными гайками в 
>> отдельный пакет? На сколько оно реально нужно в обычных ядрах не для 
>> спец дистрибутивов?
>>
> Обычное  ядро, ничем особенным для рядового использования не отличается 
> от остального.
> 
> Чем-то мешает ?

Как мне кажется (по крайней мере с моей колокольни) - сборка модулей 
иногда бывает нужна и обычным пользователям и она более тривиальна,чем 
добавление собственного ключа в UEFI. В MOK несколько проще.

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Farygin]

On 7/9/26 19:41, Anton Gorlov wrote:
> 20.06.2026 14:58, Anton Farygin пишет:
>
>>>> В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown 
>>>> режим будет принудительно включаться при загрузке в UEFI Secure 
>>>> Boot. Для большинства пользователей это изменение никак не повлияет 
>>>> на работу системы. При этом режим lockdown накладывает ряд 
>>>> ограничений, которые в некоторых сценариях могут затрагивать работу 
>>>> отдельных системных функций и возможностей.
>>> А не стоит ли паковать ядра с на столько закрученными гайками в 
>>> отдельный пакет? На сколько оно реально нужно в обычных ядрах не для 
>>> спец дистрибутивов?
>>>
>> Обычное  ядро, ничем особенным для рядового использования не 
>> отличается от остального.
>>
>> Чем-то мешает ?
>
> Как мне кажется (по крайней мере с моей колокольни) - сборка модулей 
> иногда бывает нужна и обычным пользователям и она более тривиальна,чем 
> добавление собственного ключа в UEFI. В MOK несколько проще.
>
Всегда можно отключить secure boot.

Re: [devel] Kernel lockdown in UEFI Secure Boot mode

[Anton Gorlov]

09.07.2026 19:43, Anton Farygin пишет:

>>> Обычное  ядро, ничем особенным для рядового использования не 
>>> отличается от остального.
>>>
>>> Чем-то мешает ?
>>
>> Как мне кажется (по крайней мере с моей колокольни) - сборка модулей 
>> иногда бывает нужна и обычным пользователям и она более тривиальна,чем 
>> добавление собственного ключа в UEFI. В MOK несколько проще.
>>
> Всегда можно отключить secure boot.
Если не используется dual boot и во 2 ос он не является обязательным