Ubuntu 26.10 Secure Boot Änderungen und /boot-Layoutprüfungen

Ubuntu 26.10 reduziert die im signierten GRUB für Secure Boot enthaltenen Funktionen. Die Kompatibilität hängt davon ab, wie GRUB Startdateien liest, und nicht nur davon, welches Dateisystem Ihre Root-Partition verwendet. Überprüfen Sie das Dateisystem und die zugrunde liegenden Speicherebenen, die /boot enthalten, bevor Sie eine benutzerdefinierte Installation aktualisieren.

Canonical bestätigte die Änderungen in seiner Sicherheitsübersicht vom 6. Oktober . Frühere Beschreibungen als Vorschlag beschreiben nicht mehr den aktuellen Stand.

Betroffene Layouts

Diese Einschränkungen betreffen den Bootpfad. Btrfs, ZFS, LVM, LUKS und RAID bleiben nach dem Booten verfügbar. Ein verschlüsseltes Root-Dateisystem und verschlüsselter /boot sind unterschiedliche Fälle. Die volle GRUB-Funktionalität bleibt verfügbar, wenn Secure Boot deaktiviert ist. Das Ändern der Sicherheitseinstellungen erfordert jedoch die Evaluierung der gesamten Start- und Verschlüsselungskonfiguration. Offizielle Änderungen .

Schritt 1: Überprüfen Sie Secure Boot

Der folgende Befehl liest den Status, ohne die Konfiguration zu ändern:

mokutil --sb-state

SecureBoot enabled bedeutet, dass es aktiv ist. Wenn das Tool nicht verfügbar ist, überprüfen Sie zunächst die Einstellungen von UEFI. Wenn EFI-Variablen nicht unterstützt werden, überprüfen Sie, ob die Maschine im UEFI-Modus gestartet wurde. Ein Fehler stellt nicht fest, dass Secure Boot deaktiviert ist.

Schritt 2 Suchen Sie das Dateisystem, das /boot enthält

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

Auch ohne eine separate /boot-Partition gibt findmnt das Dateisystem zurück, das dieses Verzeichnis enthält, normalerweise das Root-Dateisystem. Überspringen Sie die Prüfung nicht, nur weil lsblk keinen separaten /boot-Mount anzeigt.

Eine gewöhnliche ext4-Partition könnte Folgendes erzeugen:

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

Wenn FSTYPE Btrfs, XFS oder ZFS ist, sehen Sie in der Tabelle oben nach. Wenn es ext4 ist, SOURCE jedoch auf /dev/mapper/... oder /dev/md... zeigt, überprüfen Sie die Speicherhierarchie in lsblk: Unterstützung für ext4 stellt keine Unterstützung für zugrunde liegende her LVM, Verschlüsselungs- oder RAID-Ebenen. Die Software RAID erfordert auch eine Überprüfung ihres Levels.

Eine FAT-Systempartition EFI unter /boot/efi stellt keine Kompatibilität für das Dateisystem her, das den Kernel und initramfs unter /boot enthält. Diese Befehle ermöglichen eine erste Inspektion. Ungewöhnliche Bootketten erfordern eine Überprüfung der tatsächlichen Konfiguration.

Schritt 3: Entscheiden Sie, wann Sie ein Upgrade durchführen möchten

• Secure Boot mit einem inkompatiblen /boot-Layout aktiviert: Behalten Sie 26.04 LTS bei, während Sie einen Sicherungs- und Migrationsplan vorbereiten.
• Unterstütztes Dateisystem auf einer normalen Partition: Bei dieser Überprüfung wird keine der hier beschriebenen Einschränkungen festgestellt. Überprüfen Sie jedoch die Treiber und andere Kompatibilitätsprobleme.
• Secure Boot deaktiviert: Diese Reduzierungen gelten nicht für den aktuellen vollständigen GRUB-Pfad. Wiederholen Sie die Prüfungen, bevor Sie Secure Boot später aktivieren.

Das Verschieben von /boot umfasst Partitionen, Bereitstellungen, initramfs und die Startkonfiguration. Ein universeller Befehl kann nicht alle Maschinen sicher abdecken. Füllen Sie die Backup-Checkliste aus, zeichnen Sie das Speicherlayout auf und bereiten Sie zunächst bootfähige Wiederherstellungsmedien vor.

Bereiten Sie für die TPM-basierte Entsperrung den Wiederherstellungsschlüssel vor, bevor Sie Firmware oder Starteinstellungen ändern. Informationen zur Beziehung zwischen Startstatus und Festplattenentsperrung finden Sie in der Erklärung zur hardwaregestützten Verschlüsselung .

Häufige Fragen

Verhindert ein verschlüsseltes Root-Dateisystem immer ein Upgrade?

Nein. Überprüfen Sie, ob die Dateien, die GRUB lesen muss, verschlüsselt sind. Ein gewöhnlicher separater ext4 /boot kann einem anderen Speicherpfad als einem verschlüsselten Root-Dateisystem folgen.

Ist RAID1 immer kompatibel?

Die offiziellen Änderungen behalten eine RAID1-Ausnahme bei, Sie müssen jedoch weiterhin das Dateisystem und alle verschachtelten Speicherebenen überprüfen.

Kann ein anderes GRUB-Design die Dateisystemunterstützung wiederherstellen?

Nein. Themen und Hintergründe ändern nicht die kompilierten Funktionen von GRUB. Beheben Sie die Kompatibilität nicht, indem Sie die Überprüfung umgehen oder Startkomponenten willkürlich ersetzen.

Weiterführende Literatur: frühe offizielle Designdiskussion , 26.10 Downloads und Upgrade-Ratschläge.