セキュアブートが有効になっているときに自己署名カーネルをロードできませんでした：「無効なパディング署名」

Question

MOK.pemは、カーネルモジュールの署名のみをサポートするように設定された拡張使用属性を使用してUbuntu / Debianシステムで生成されます。この証明書は、シム検証に合格するために必要なUEFIブートローダまたはカーネルに署名するために使用することはできません。

shimソースコードでこれを確認できます。

   #define OID_EKU_MODSIGN "1.3.6.1.4.1.2312.16.1.2"

   static BOOLEAN verify_eku(UINT8 *Cert, UINTN CertSize)
   {
    ...
    x509 = d2i_X509 (NULL, &Temp, (long) CertSize);
    if (x509 != NULL) {
        eku = X509_get_ext_d2i(x509, NID_ext_key_usage, NULL, NULL);
        if (eku) {
        ...
                if (OBJ_cmp(module_signing, key_usage) == 0)
                    return FALSE;
        ...
            }
        }
        return TRUE;
}

つまり、module_signing 拡張キーの使用が設定されている場合、shim は署名証明書が有効であるとは見なされず、grub または Linux カーネルのバイナリを確認できません。

独自のセキュアブート署名証明書（EKUは不要）を作成し、それをmokまたはdbに登録して署名に使用します。

引用:https://wiki.ubuntu.com/UEFI/SecureBoot/KeyManagement/KeyGeneration

引用:https://github.com/rhboot/shim/blob/main/shim.c#L106

Answer 1

MOK.pemは、カーネルモジュールの署名のみをサポートするように設定された拡張使用属性を使用してUbuntu / Debianシステムで生成されます。この証明書は、シム検証に合格するために必要なUEFIブートローダまたはカーネルに署名するために使用することはできません。