[sisyphus] Kernel lockdown in UEFI Secure Boot mode

[sisyphus] Kernel lockdown in UEFI Secure Boot mode

[Egor Ignatov]

Всем добрый день!

В ближайшее время в Сизиф начнут попадать ядра, в которых lockdown режим 
будет принудительно включаться при загрузке в UEFI Secure Boot. Для 
большинства пользователей это изменение никак не повлияет на работу 
системы. При этом режим lockdown накладывает ряд ограничений, которые в 
некоторых сценариях могут затрагивать работу отдельных системных функций 
и возможностей.

Изменения касаются пользователей, у которых:
- Система установлена в режиме UEFI
- Включен режим UEFI Secure Boot

Основные ограничения режима lockdown:
- Ограничено использование незашифрованного swap для гибернации и сна
- Ограничена загрузка неподписанных модулей ядра
- Ограничена загрузка неподписанных бинарных файлов через kexec
Подробнее см. kernel_lockdown(7).

Out-of-Tree модули ядра из репозитория:
На данный момент сборочница уже подписывает Out-of-Tree модули, поэтому 
в режиме lockdown они продолжат загружаться как обычно.

Q&A:
Q: Как отключить kernel_lockdown?
A: Выключить режим Secure Boot в настройках UEFI.

Q: Можно ли отключить kernel_lockdown, при этом оставив Secure Boot 
включенным?
A: Да, для этого необходимо выполнить `mokutil --disable-validation` в 
терминале от root-пользователя и следовать дальнейшим инструкциям.

Q: Перестала работать гибернация/сон, что делать?
A: Нужно отключить kernel_lockdown, как описано выше.

Q: Как загрузить свой (сторонний) модуль ядра?
A: Либо создать собственный ключ для подписи, зарегистрировать его в 
UEFI MOK[1] и подписать им модуль; либо отключить проверку подписи 
модулей (см. выше) и загрузить как обычно.

[1] https://blogs.oracle.com/linux/the-machine-keyring
-- 
Egor Ignatov
ALT Linux Team

Re: [sisyphus] Kernel lockdown in UEFI Secure Boot mode

[Денис Назаров]

03.06.2026 12:33, Egor Ignatov пишет:
> Out-of-Tree модули ядра из репозитория:
> На данный момент сборочница уже подписывает Out-of-Tree модули, 
> поэтому в режиме lockdown они продолжат загружаться как обычно.

Что-то кажется не очень подписывает:

https://git.altlinux.org/tasks/421881/logs/events.1.1.log

2026-Jun-19 14:17:36 :: [x86_64] #100: kernel modules for 6.12 should be signed
2026-Jun-19 14:17:36 :: [i586] #100: kernel modules for 6.12 should be signed
2026-Jun-19 14:17:36 :: [aarch64] #100: kernel modules for 6.12 should be signed
2026-Jun-19 14:17:36 :: modsign check FAILED for: [x86_64] #100 [i586] #100 [aarch64] #100


https://git.altlinux.org/tasks/421882/logs/events.1.1.log

2026-Jun-19 14:17:42 :: [x86_64] #100: kernel modules for 6.18 should be signed
2026-Jun-19 14:17:42 :: [i586] #100: kernel modules for 6.18 should be signed
2026-Jun-19 14:17:43 :: [aarch64] #100: kernel modules for 6.18 should be signed
2026-Jun-19 14:17:43 :: modsign check FAILED for: [x86_64] #100 [i586] #100 [aarch64] #100


Или я что-то не так делаю?