UEFIでセキュアブートを再度有効にすることは安全ですか？

Question

しばらく前に、サードパーティのドライバーをインストールするために、UEFIでセキュアブートを無効にする必要がありました。

（カーネルの更新により）このサードパーティのドライバーはもう必要ないので、アンインストールしました。

署名されていないドライバーを削除したので、セキュアブートを再度有効にすることをお勧めします。それは...ですか？または、マルウェアがその間に損傷を引き起こした可能性があります。セキュアブートが一度無効にされた後、セキュアブートが「セキュア」ではなくなるように、新しいセキュアブートキーを追加しますか？

cl-netbox · Accepted Answer

はい、セキュアブートを安全に再度有効にできます。何かが破損している可能性はほとんどありません。
その後、BIOSでデフォルトのブートローダーをgrubx64.efiからshimx64.efiに変更します。 UEFI。
それ以外の場合、Ubuntuは未署名のブートローダーで起動しようとします-もちろん動作しません。
別の方法として、ビルトインefibootmgrでセキュアブート設定を変更する前にそれを行うことができます。

現在アクティブなブートローダーファイルを一覧表示するには、次のコマンドを実行します：Sudo efibootmgr -v
Sudo efibootmgr -o XXXX,YYYY (X,Y = entry number)を実行して起動順序を変更します
shimx64.efiがリストされていない場合、（X =ディスク| Y = EFIパーティション）を実行して追加できます：
Sudo efibootmgr -c -w -d /dev/sdXY -p 1 -L "ubuntu" -l '\EFI\ubuntu\shimx64.efi

Elder Geek · Answer

気にしません。セキュアブートを再度有効にしても、測定可能な方法でUbuntuのセキュリティが向上することはありません（気分が良くなったとしても、害を感じることはありません）。

再度有効にしたい場合は、このバグにサブスクライブし、Ubuntuの観点から何も達成していない前にバグが修正されるまで待つ必要があります。

Edit：前述のバグは、パッケージgrub2-2.02〜beta3-4ubuntu2で2017年3月30日17:45:23に修正されたと報告されています

また、パッケージ内 grub2-signed-1.8 2017年4月4日10:28:34現在

Debファイル（Zesty用に作成）が利用可能です here。 Xenialを実行しているため、リリース用に特別に開発されたパッケージを待つのが最も安全かもしれません（少なくとも---を作成します current backup ）Zesty向けに設計された.debをXenialシステムにインストールすることによってもたらされる予期しない結果を避けるため。