将 X.509 证书添加到 UEFI 安全启动数据库？

Question

我最近在带有华硕 Z87-K 主板的定制台式机上安装了 Fedora 20。鉴于一些众所周知的错误，我为我的 GeForce 630 安装了 NVIDIA 专有驱动程序，并禁用了 nouveau 驱动程序。

正确完成驱动程序安装后，在此期间模块使用新生成的密钥对签名，x.509 证书被创建并自动放置在

/usr/share/nvidia/certificate.der.

但是，从那一刻起，计算机无法在启用 UEFI 安全启动选项的情况下启动。当切换到 textmode 并运行时nvidia-modprobe，我发现未加载 NVIDIA 专有模块。

当我在 UEFI 菜单中禁用安全启动时，计算机启动并使用安装的驱动程序顺利运行。

为了避免在不安全模式下启动的缺点，我想知道在哪里放置 NVIDIA 模块的 x.509 证书，以便内核识别它，这样我就不必关闭安全启动。

Answer 1

您应该能够使用加载证书，MokManager.efi以便 Shim 识别它，从而被内核接受。我不知道 Fedora 是否设置了 GRUB 以便您可以MokManager.efi自己启动。如果没有，请尝试使用 EFI shell 或 rEFInd 引导（禁用安全引导）USB 闪存驱动器。然后您应该能够启动MokManager.efi并加载证书文件。（它需要与该MokManager.efi实用程序存储在同一磁盘上——可能/boot/efi来自 Fedora 内部。）

我很确定有一种方法可以从 Linux 内部将证书添加到 NVRAM，以便 Shim 会注意到它并询问您下次重新启动时是否应该使用它，但我不知道它到底是什么。据推测，这涉及将文件写入/sys/firmware/efi目录树中的某个位置。

也就是说，我从来不需要自己做这个特定的事情，因为我不在我的任何计算机上使用专有的视频驱动程序。可以想象，您需要采取一些额外的步骤。