Ubuntu 26.10 Secure Boot Modifications et vérifications de la configuration de démarrage

Ubuntu 26.10 réduit les fonctionnalités incluses dans GRUB signé pour Secure Boot. La compatibilité dépend de la façon dont GRUB lit les fichiers de démarrage, plutôt que simplement du système de fichiers utilisé par votre partition racine. Vérifiez le système de fichiers et les couches de stockage sous-jacentes contenant /boot avant de mettre à niveau une installation personnalisée.

Canonical a confirmé les modifications dans son aperçu de la sécurité du 6 octobre . Les descriptions antérieures de ces propositions ne décrivent plus leur état actuel.

Mises en page concernées

Ces restrictions concernent le chemin de démarrage. Btrfs, ZFS, LVM, LUKS et RAID restent disponibles après le démarrage. Un système de fichiers racine chiffré et un /boot chiffré sont des cas différents. La fonctionnalité complète de GRUB reste disponible avec Secure Boot désactivé, mais la modification des paramètres de sécurité nécessite d’évaluer l’ensemble de la configuration de démarrage et de chiffrement. Modifications officielles .

Étape 1 : Vérifiez Secure Boot

La commande suivante lit l’état sans modifier la configuration :

mokutil --sb-state

SecureBoot enabled signifie qu’il est actif. Si l’outil n’est pas disponible, inspectez d’abord les paramètres UEFI. Si les variables EFI ne sont pas prises en charge, vérifiez si la machine a démarré en mode UEFI ; une erreur n’établit pas que Secure Boot est désactivé.

Étape 2 : localisez le système de fichiers contenant /boot

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

Même sans partition /boot distincte, findmnt renvoie le système de fichiers contenant ce répertoire, généralement le système de fichiers racine. Ne sautez pas la vérification simplement parce que lsblk n’affiche pas de montage /boot distinct.

Une partition ext4 ordinaire peut produire :

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

Si FSTYPE est Btrfs, XFS ou ZFS, consultez le tableau ci-dessus. S’il s’agit de ext4 mais que SOURCE pointe vers /dev/mapper/... ou /dev/md..., inspectez la hiérarchie de stockage dans lsblk : la prise en charge de ext4 n’établit pas la prise en charge de LVM sous-jacent, du cryptage ou Couches RAID. Le logiciel RAID nécessite également de vérifier son niveau.

Une partition système FAT EFI sur /boot/efi n’établit pas de compatibilité pour le système de fichiers contenant le noyau et initramfs sur /boot. Ces commandes fournissent une première inspection ; les chaînes de démarrage inhabituelles nécessitent de revoir la configuration réelle.

Étape 3 : Décidez quand mettre à niveau

• Secure Boot activé avec une configuration /boot incompatible : conservez 26.04 LTS lors de la préparation d’un plan de sauvegarde et de migration.
• Système de fichiers pris en charge sur une partition ordinaire : cette inspection ne trouve aucune restriction décrite ici, mais vérifiez les pilotes et autres problèmes de compatibilité.
• Secure Boot désactivé : ces réductions ne s’appliquent pas au chemin complet actuel d’GRUB. Répétez les vérifications avant d’activer Secure Boot ultérieurement.

Le déplacement de /boot implique des partitions, des montages, initramfs et une configuration de démarrage. Une commande universelle ne peut pas couvrir en toute sécurité toutes les machines. Remplissez la liste de contrôle de sauvegarde, enregistrez la disposition du stockage et préparez d’abord le support de récupération amorçable.

Pour le déverrouillage basé sur TPM, préparez la clé de récupération avant de modifier le micrologiciel ou les paramètres de démarrage. Consultez l’explication du chiffrement matériel  pour connaître la relation entre l’état de démarrage et le déverrouillage du disque.

Questions courantes

Un système de fichiers racine crypté empêche-t-il toujours une mise à niveau ?

Non. Vérifiez si les fichiers que GRUB doit lire sont cryptés. Un /boot ordinaire distinct peut suivre un chemin de stockage différent à partir d’un système de fichiers racine crypté.

RAID1 est-il toujours compatible ?

Les modifications officielles conservent une exception RAID1, mais vous devez toujours vérifier le système de fichiers et toutes les couches de stockage imbriquées.

Un autre thème GRUB peut-il restaurer la prise en charge du système de fichiers ?

Non. Les thèmes et les arrière-plans ne modifient pas les fonctionnalités compilées signées GRUB. Ne résolvez pas la compatibilité en contournant la vérification ou en remplaçant arbitrairement les composants de démarrage.

Lectures complémentaires : premières discussions officielles sur la conception , téléchargements 26.10 et conseils de mise à niveau.