Linux内核模块签名避坑指南：以VirtualBox的vboxdrv为例，保留Secure Boot也不怕
Linux内核模块签名避坑指南：以VirtualBox的vboxdrv为例，保留Secure Boot也不怕
当你在Ubuntu系统上尝试加载VirtualBox的vboxdrv内核模块时，如果遇到"Key was rejected by service"错误，这通常意味着系统启用了UEFI Secure Boot安全机制。本文将带你深入理解内核模块签名的原理，并提供完整的解决方案，让你既能保持Secure Boot的安全优势，又能顺利运行第三方内核模块。
1. Secure Boot与内核模块签名原理
现代Linux发行版如Ubuntu默认启用了UEFI Secure Boot，这是一项重要的安全功能，旨在防止未经授权的代码在系统启动时执行。Secure Boot通过验证所有启动组件的数字签名来确保系统完整性。
核心机制：
- 信任链：从固件到引导加载程序(shim)再到内核，每个环节都需要验证签名
- 双重验证：内核不仅验证自身签名，还会验证所有要加载的内核模块
- 密钥管理：系统使用一组预置的密钥(MOK - Machine Owner Key)来验证模块
提示：内核模块签名不同于普通的软件包签名，它需要特定的密钥和签名流程。
当Secure Boot启用时，内核会强制执行模块签名验证。这就是为什么直接加载VirtualBox驱动会失败——系统无法验证这些第三方模块的合法性。
2. 准备工作与环境检查
在开始签名流程前，我们需要确认系统状态并安装必要工具。
2.1 检查Secure Boot状态
sudo mokutil --sb-state典型输出可能如下：
SecureBoot enabled SecureBoot validation is enabled in shim2.2 安装必要工具
确保系统已安装以下关键软件包：
sudo apt update sudo apt install mokutil openssl shim-signed2.3 确认内核头文件
签名脚本需要对应版本的内核头文件：
sudo apt install linux-headers-$(uname -r)3. 生成签名密钥对
我们将使用OpenSSL生成用于模块签名的密钥对。
3.1 创建密钥和证书
openssl req -new -x509 -newkey rsa:2048 \ -keyout MOK.priv -outform DER -out MOK.der \ -nodes -days 36500 -subj "/CN=Your Name/"参数说明：
| 参数 | 说明 |
|---|---|
-newkey rsa:2048 | 生成2048位RSA密钥 |
-keyout | 指定私钥输出文件 |
-outform DER | 证书输出格式 |
-nodes | 不加密私钥(方便自动化) |
-days 36500 | 证书有效期(约100年) |
注意：生产环境中应考虑移除
-nodes参数并设置私钥密码，增强安全性。
3.2 密钥文件权限
为安全起见，设置适当的文件权限：
chmod 600 MOK.priv chmod 644 MOK.der4. 签名内核模块
有了密钥对后，我们可以为VirtualBox驱动签名。
4.1 定位模块文件
首先确认vboxdrv模块位置：
modinfo -n vboxdrv典型输出为/lib/modules/$(uname -r)/updates/dkms/vboxdrv.ko
4.2 执行签名操作
使用内核提供的sign-file脚本进行签名：
sudo /usr/src/linux-headers-$(uname -r)/scripts/sign-file \ sha256 ./MOK.priv ./MOK.der $(modinfo -n vboxdrv)4.3 验证签名
检查签名是否成功添加：
tail $(modinfo -n vboxdrv) | grep "Module signature appended"成功时应看到"Module signature appended"信息。
5. 注册MOK密钥
签名后的模块仍无法加载，因为系统尚未信任我们的签名密钥。
5.1 导入MOK密钥
sudo mokutil --import MOK.der系统会提示设置一次性密码(8-16位)，用于下次启动时确认密钥导入。
5.2 完成密钥注册
- 重启系统
- 在启动过程中会进入MOK管理界面(蓝色背景)
- 选择"Enroll MOK" > "Continue" > "Yes"
- 输入之前设置的密码
- 选择"Reboot"完成注册
5.3 验证密钥注册
检查密钥是否已成功注册：
mokutil --test-key MOK.der输出"MOK.der is already enrolled"表示成功。
6. 自动化与长期维护
内核更新后，已签名的模块将失效，需要重新签名。我们可以创建自动化脚本来简化这一过程。
6.1 创建签名脚本
保存为sign-vboxdrv.sh：
#!/bin/bash KERNEL_VERSION=$(uname -r) MODULE_PATH=$(modinfo -n vboxdrv) SIGN_SCRIPT="/usr/src/linux-headers-${KERNEL_VERSION}/scripts/sign-file" sudo "${SIGN_SCRIPT}" sha256 ./MOK.priv ./MOK.der "${MODULE_PATH}"赋予执行权限：
chmod +x sign-vboxdrv.sh6.2 设置内核更新钩子
创建/etc/kernel/postinst.d/sign-vboxdrv：
#!/bin/bash KERNEL_VERSION="$1" SIGN_SCRIPT="/usr/src/linux-headers-${KERNEL_VERSION}/scripts/sign-file" MODULE_PATH="/lib/modules/${KERNEL_VERSION}/updates/dkms/vboxdrv.ko" if [ -f "${MODULE_PATH}" ]; then /path/to/sign-vboxdrv.sh fi设置权限：
sudo chmod +x /etc/kernel/postinst.d/sign-vboxdrv6.3 定期检查脚本
建议将签名脚本和密钥备份到安全位置，并定期检查自动化流程是否正常工作。