Ubuntu 26.10 Secure Boot Cambios y comprobaciones de diseño de /boot

Ubuntu 26.10 reduce las características incluidas en GRUB firmado para Secure Boot. La compatibilidad depende de cómo GRUB lee los archivos de arranque, en lugar de simplemente qué sistema de archivos utiliza su partición raíz. Verifique el sistema de archivos y las capas de almacenamiento subyacentes que contienen /boot antes de actualizar una instalación personalizada.

Canonical confirmó los cambios en su descripción general de seguridad del 6 de octubre . Las descripciones anteriores de ellos como una propuesta ya no describen el estado actual.

Diseños afectados

Estas restricciones se refieren a la ruta de inicio. Btrfs, ZFS, LVM, LUKS y RAID permanecen disponibles después del arranque. Un sistema de archivos raíz cifrado y un /boot cifrado son casos diferentes. La funcionalidad completa de GRUB permanece disponible con Secure Boot deshabilitado, pero cambiar la configuración de seguridad requiere evaluar toda la configuración de arranque y cifrado. Cambios oficiales .

Paso 1 Verifique Secure Boot

El siguiente comando lee el estado sin cambiar la configuración:

mokutil --sb-state

SecureBoot enabled significa que está activo. Si la herramienta no está disponible, primero inspeccione la configuración de UEFI. Si las variables EFI no son compatibles, confirme si la máquina arrancó en modo UEFI; un error no establece que Secure Boot esté deshabilitado.

Paso 2 Ubique el sistema de archivos que contiene /boot

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

Incluso sin una partición /boot separada, findmnt devuelve el sistema de archivos que contiene ese directorio, generalmente el sistema de archivos raíz. No omita la verificación solo porque lsblk no muestra un montaje /boot separado.

Una partición ext4 normal podría producir:

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

Si FSTYPE es Btrfs, XFS o ZFS, consulte la tabla anterior. Si es ext4 pero SOURCE apunta a /dev/mapper/... o /dev/md..., inspeccione la jerarquía de almacenamiento en lsblk: el soporte para ext4 no establece soporte para subyacente LVM, cifrado o capas RAID. El software RAID también requiere verificar su nivel.

Una partición del sistema FAT EFI en /boot/efi no establece compatibilidad para el sistema de archivos que contiene el kernel y initramfs en /boot. Estos comandos proporcionan una inspección inicial; Las cadenas de arranque inusuales requieren revisar la configuración real.

Paso 3 Decida cuándo actualizar

• Secure Boot habilitado con un diseño /boot incompatible: mantenga 26.04 LTS mientras prepara un plan de copia de seguridad y migración.
• Sistema de archivos compatible en una partición normal: esta inspección no encuentra ninguna restricción descrita aquí, pero verifica los controladores y otros problemas de compatibilidad.
• Secure Boot deshabilitado: estas reducciones no se aplican a la ruta GRUB completa actual. Repita las comprobaciones antes de habilitar Secure Boot más adelante.

Mover /boot implica particiones, montajes, initramfs y configuración de arranque. Un comando universal no puede cubrir con seguridad todas las máquinas. Complete la lista de verificación de respaldo, registre el diseño de almacenamiento y prepare primero el medio de recuperación de arranque.

Para el desbloqueo basado en TPM, prepare la clave de recuperación antes de cambiar el firmware o la configuración de inicio. Consulte la explicación del cifrado respaldado por hardware  para conocer la relación entre el estado de inicio y el desbloqueo del disco.

Preguntas comunes

¿Un sistema de archivos raíz cifrado siempre impide una actualización?

No. Compruebe si los archivos que GRUB debe leer están cifrados. Un ext4 /boot separado y ordinario puede seguir una ruta de almacenamiento diferente a la de un sistema de archivos raíz cifrado.

¿RAID1 es siempre compatible?

Los cambios oficiales mantienen una excepción RAID1, pero aún debes verificar el sistema de archivos y las capas de almacenamiento anidadas.

¿Puede un tema GRUB diferente restaurar la compatibilidad con el sistema de archivos?

No. Los temas y fondos no cambian las características compiladas de GRUB firmado. No resuelva la compatibilidad omitiendo la verificación o reemplazando arbitrariamente los componentes de arranque.

Lectura adicional: discusión inicial sobre el diseño oficial , descargas de 26.10 y consejos de actualización.