如何对 Ubuntu 18.04 内核模块进行签名

Question 1

为了使 VirtualBox 正常工作而不简单地禁用 UEFI 安全启动，您需要执行以下操作：

创建个人公钥/私钥 RSA 密钥对来签署内核模块。按照以下链接中的建议，我选择将密钥/密钥对存储在 /root/module-signing/ 目录中。

    sudo -i
    mkdir /root/module-signing
    cd /root/module-signing
    openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=YOUR_NAME/"
    chmod 600 MOK.priv

使用 mokutil（一种导入或删除机器所有者密钥 (MOK) 的工具）导入公钥，然后在机器重新启动时注册它。此步骤中的密码是临时使用的密码，您只需记住几分钟即可。

    mokutil --import /root/module-signing/MOK.der
    input password:
    input password again:

重新启动机器。引导加载程序启动后，您应该会看到一个屏幕，要求您按下按钮进入 MOK 管理器 EFI 实用程序。请注意，任何外部键盘在此步骤中都不起作用。在第一个菜单中选择注册 MOK，然后继续，然后选择是以注册密钥，并重新输入在步骤 2 中设置的密码。然后选择确定以继续系统启动。
未来的内核更新将需要对更新后的内核再次进行签名，因此将签名命令放入脚本中是有意义的，该脚本可以在以后根据需要运行。下面给出了一个示例脚本 /root/module-signing/sign-vbox-modules。

#!/bin/bash

for modfile in $(dirname $(modinfo -n vboxdrv))/*.ko; do
  echo "Signing $modfile"
  /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 \
                                /root/module-signing/MOK.priv \
                                /root/module-signing/MOK.der "$modfile"
done

添加执行权限，并从 /root/module-signing/ 目录以 root 身份运行上述脚本。

    sudo -i
    cd /root/module-signing
    chmod 700 /root/module-signing/sign-vbox-modules
    ./sign-vbox-modules

加载 vboxdrv 模块并启动 VirtualBox。

    modprobe vboxdrv

大部分信息来自以下链接，您可以参考以获取更多信息https://stegard.net/2016/10/virtualbox-secure-boot-ubuntu-fail/。

Answer

为了使 VirtualBox 正常工作而不简单地禁用 UEFI 安全启动，您需要执行以下操作：

创建个人公钥/私钥 RSA 密钥对来签署内核模块。按照以下链接中的建议，我选择将密钥/密钥对存储在 /root/module-signing/ 目录中。

    sudo -i
    mkdir /root/module-signing
    cd /root/module-signing
    openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=YOUR_NAME/"
    chmod 600 MOK.priv

使用 mokutil（一种导入或删除机器所有者密钥 (MOK) 的工具）导入公钥，然后在机器重新启动时注册它。此步骤中的密码是临时使用的密码，您只需记住几分钟即可。

    mokutil --import /root/module-signing/MOK.der
    input password:
    input password again:

重新启动机器。引导加载程序启动后，您应该会看到一个屏幕，要求您按下按钮进入 MOK 管理器 EFI 实用程序。请注意，任何外部键盘在此步骤中都不起作用。在第一个菜单中选择注册 MOK，然后继续，然后选择是以注册密钥，并重新输入在步骤 2 中设置的密码。然后选择确定以继续系统启动。
未来的内核更新将需要对更新后的内核再次进行签名，因此将签名命令放入脚本中是有意义的，该脚本可以在以后根据需要运行。下面给出了一个示例脚本 /root/module-signing/sign-vbox-modules。

#!/bin/bash

for modfile in $(dirname $(modinfo -n vboxdrv))/*.ko; do
  echo "Signing $modfile"
  /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 \
                                /root/module-signing/MOK.priv \
                                /root/module-signing/MOK.der "$modfile"
done

添加执行权限，并从 /root/module-signing/ 目录以 root 身份运行上述脚本。

    sudo -i
    cd /root/module-signing
    chmod 700 /root/module-signing/sign-vbox-modules
    ./sign-vbox-modules

加载 vboxdrv 模块并启动 VirtualBox。

    modprobe vboxdrv

大部分信息来自以下链接，您可以参考以获取更多信息https://stegard.net/2016/10/virtualbox-secure-boot-ubuntu-fail/。

Question 2

我知道这个问题已经很老了，但是因为没有公认的答案，而且这些答案都没有为我解决问题，所以我今天写下了我如何解决这个问题：

运行此命令时，出现以下错误：

$ sudo modprobe vboxdrv
modprobe: ERROR: could not insert 'vboxdrv': Required key not available

问题在于模块未签名，因此未随内核加载。如果您的计算机已激活 SecureBoot 模式，就会发生这种情况，这在现代设备中非常常见。

这就是为什么我在虚拟机中打开任何机器时都会出现此错误

内核驱动程序未安装（rc=-1908）

按照以下步骤对驱动程序进行签名，并将其作为内核模块加载到 Ubuntu 系统和 Debian 9 上：

安装mkutil包以便能够进行签名。

sudo apt-get update
sudo apt-get upgrade
sudo apt-get install mokutil

生成签名文件：

openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -nodes -days 36500 -subj "/CN=VirtualBox/"

然后将其添加到内核：

sudo /usr/src/linux-headers-$(uname -r)/scripts/sign-file sha256 ./MOK.priv ./MOK.der $(modinfo -n vboxdrv)

将其注册为安全启动。

重要的！这将要求您输入密码，输入您想要的密码，您只需在下次重启时使用一次该密码。
```
sudo mokutil --import MOK.der
```
最后，重启电脑。会出现一个蓝屏，上面写着“键盘等待，按下中断启动的键”。

当您处于蓝屏状态时，选择

注册 MOK -> 继续 -> 系统会要求您输入密码

您之前已经输入过的内容，您将输入它，然后会被告知操作已成功完成。

现在你的操作系统将启动，你可以毫无问题地使用 VirtualBox :)

希望这对某人有帮助。

Answer