Ubuntu 26.10 Secure Boot Alterações e verificações de layout /boot

Ubuntu 26.10 reduz os recursos incluídos no GRUB assinado para Secure Boot. A compatibilidade depende de como GRUB lê os arquivos de inicialização, em vez de simplesmente qual sistema de arquivos sua partição raiz usa. Verifique o sistema de arquivos e as camadas de armazenamento subjacentes contendo /boot antes de atualizar uma instalação personalizada.

Canonical confirmou as alterações em sua visão geral de segurança de 6 de outubro . As descrições anteriores deles como uma proposta não descrevem mais o status atual.

Estas restrições dizem respeito ao caminho de inicialização. Btrfs, ZFS, LVM, LUKS e RAID permanecem disponíveis após a inicialização. Um sistema de arquivos raiz criptografado e /boot criptografado são casos diferentes. A funcionalidade GRUB completa permanece disponível com Secure Boot desativado, mas a alteração das configurações de segurança requer a avaliação de toda a configuração de inicialização e criptografia. Mudanças oficiais .

Etapa 1 Verifique Secure Boot

O seguinte comando lê o status sem alterar a configuração:

mokutil --sb-state

SecureBoot enabled significa que está ativo. Se a ferramenta não estiver disponível, inspecione primeiro as configurações de UEFI. Se as variáveis ​​EFI não forem suportadas, confirme se a máquina inicializou no modo UEFI; um erro não estabelece que Secure Boot está desativado.

Etapa 2 Localize o sistema de arquivos que contém /boot

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

Mesmo sem uma partição /boot separada, findmnt retorna o sistema de arquivos que contém esse diretório, geralmente o sistema de arquivos raiz. Não pule a verificação só porque lsblk não mostra uma montagem /boot separada.

Uma partição ext4 comum pode produzir:

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

Se FSTYPE for Btrfs, XFS ou ZFS consulte a tabela acima. Se for ext4, mas SOURCE apontar para /dev/mapper/... ou /dev/md..., inspecione a hierarquia de armazenamento em lsblk: o suporte para ext4 não estabelece suporte para subjacente Camadas LVM, criptografia ou RAID. O software RAID também requer a verificação de seu nível.

Uma partição de sistema FAT EFI em /boot/efi não estabelece compatibilidade para o sistema de arquivos que contém o kernel e initramfs em /boot. Esses comandos fornecem uma inspeção inicial; cadeias de inicialização incomuns exigem a revisão da configuração real.

Etapa 3: decidir quando atualizar

• Secure Boot habilitado com um layout /boot incompatível: mantenha 26.04 LTS enquanto prepara um plano de backup e migração.
• Sistema de arquivos suportado em uma partição comum: esta inspeção não encontra nenhuma restrição descrita aqui, mas verifica drivers e outros problemas de compatibilidade.
• Secure Boot desativado: essas reduções não se aplicam ao caminho GRUB completo atual. Repita as verificações antes de ativar Secure Boot posteriormente.

Mover /boot envolve partições, montagens, initramfs e configuração de inicialização. Um comando universal não pode abranger com segurança todas as máquinas. Conclua a lista de verificação de backup, registre o layout de armazenamento e prepare primeiro a mídia de recuperação inicializável.

Para desbloqueio baseado em TPM, prepare a chave de recuperação antes de alterar o firmware ou as configurações de inicialização. Consulte a explicação da criptografia apoiada por hardware  para saber a relação entre o estado de inicialização e o desbloqueio do disco.

Perguntas comuns

Um sistema de arquivos raiz criptografado sempre impede uma atualização?

Não. Verifique se os arquivos que GRUB deve ler estão protegidos por criptografia. Um ext4 /boot separado comum pode seguir um caminho de armazenamento diferente de um sistema de arquivos raiz criptografado.

RAID1 é sempre compatível?

As alterações oficiais mantêm uma exceção RAID1, mas você ainda deve verificar o sistema de arquivos e quaisquer camadas de armazenamento aninhadas.

Um tema GRUB diferente pode restaurar o suporte do sistema de arquivos?

Não. Temas e planos de fundo não alteram os recursos compilados do GRUB assinado. Não resolva a compatibilidade ignorando a verificação ou substituindo arbitrariamente os componentes de inicialização.

Leitura adicional: discussão oficial inicial sobre design , 26.10 downloads e conselhos de atualização.