Не могу загрузить Ubuntu 18.04.2 LTS или его LiveUSB после регистрации MOK
Я не могу загрузить Ubuntu 18.04.2 LTS или его Live USB после регистрации MOK. Вот шаги, которые привели к этой ситуации.
- Чистая установка Ubuntu 18.04.2 LTS на рабочую станцию Dell Precision T7910. Никакая другая ОС не установлена на этом компьютере.
- ОС, установленная с использованием UEFI LiveUSB. Безопасная загрузка включена.
- Установлен проприетарный драйвер nvidia-430 для видеокарты Nvidia Titan-X. Установка предложила мне ввести пароль для регистрации с помощью MOK. При перезагрузке на экране управления MOK запрашивается пароль для ввода ключа. Я успешно зарегистрировал ключ. С тех пор я несколько раз перезагружал систему. Все работало нормально.
- Был сбой материнской платы. Заменил на новую материнскую плату. Система перезагрузилась нормально после сброса метки обслуживания Dell. Пару раз перезагружался при включенной Secure Boot. Нет проблем.
- Заменена видеокарта Nvidia на карту AMD. Драйвер по умолчанию в Ubuntu работал нормально. Но я хотел использовать последнюю версию драйвера. Скачал драйвер с сайта AMD. Установка побудила меня установить пароль для регистрации ключа с помощью MOK. Перезагрузил машину. Зарегистрировали ключ с помощью MOK, используя тот же пароль. После перезагрузки я столкнулся со следующей ошибкой, после которой машина выключилась.
Невозможно вызвать таблицу окончательных событий tcg2: неверный параметр
Что-то пошло не так: import_mok_state () не удалось
: неверный параметр
Загрузка из установщика LiveUSB Ubuntu показывает то же сообщение об ошибке с последующим выключением компьютера. Я получаю это сообщение об ошибке независимо от того, установлен ли Secure Boot в положение ON или OFF.
Я могу успешно загрузить LiveUSB в устаревшем режиме. Но тогда я не могу использовать утилиту efibootmgr (см. 2-й ответ здесь ), чтобы исправить загрузчики в разделе EFI. Чтобы использовать утилиту efibootmgr, мне нужно загрузиться в режиме UEFI. Но попытка загрузить Ubuntu Live USB в режиме UEFI приводит к приведенному выше сообщению об ошибке и отключению системы.
Я нашел другую связанную тему здесь . Однако, поскольку я не могу загрузиться с LiveUSB в режиме UEFI, я не могу выполнять какие-либо операции EFI.
Мне удалось загрузить спасательный диск системы при включенной безопасной загрузке. Я удалил все разделы на загрузочном диске. Попытался переустановить Ubuntu из LiveUSB, но столкнулся с тем же сообщением об ошибке. Я успешно установил Windows 10, которая нормально загружалась в безопасном режиме. Затем я снова удалил все разделы и решил поближе посмотреть все настройки BIOS.
Включен TPM. И теперь я могу загружаться с LiveUSB в режиме безопасной загрузки. Но если я отключу TPM, он вернется к более раннему сообщению об ошибке. С включенным TPM я переустановил ОС из LiveUSB. Решил установить дополнительные видеодрайверы, в которых меня попросили установить пароль для регистрации ключей с помощью Mok. После перезагрузки появился Mok Manager и попросил у меня пароль для регистрации ключей. Я согласился, и теперь я могу загрузить Ubuntu с загрузочного диска (если TPM установлен в положение ON).
Вопросы:
- Почему TPM должен быть включен, чтобы безопасная загрузка работала нормально? Он не был включен в первый раз, когда я установил Ubuntu, и безопасная загрузка работала нормально.
- Теперь, когда я могу обеспечить безопасную загрузку для ОС, можно ли сделать безопасную загрузку без TPM?
1 ответ
После долгих поисков я обнаружил следующее здесь :
EUFI содержит базу данных зарегистрированных доверенных органов. Пользователи могут добавлять свои собственные доверенные права доступа к этой базе данных, чтобы разрешить загрузку операционных систем не Microsoft.
Именно здесь используются доверенные платформенные модули (TPM). TPM можно использовать для хранения ключей или выполнения процедур шифрования / подписи / проверки. TPM в сочетании с UEFI позволяет проверять загрузчик и загружать операционную систему.
Похоже, что проприетарные драйверы дисплеев Nvidia и AMD хотят хранить свои ключи в TPM.
TPM имеет две настройки режима, которые сбивают с толку - активный и включенный. Они имеют в виду разные вещи. Active отображается как «TPM on» на моей рабочей станции Dell Precision. В этом состоянии доступны некоторые функции TPM. К ним относятся хранение ключей и поиск. «Включен» означает, что TPM полностью функционален; это может быть использовано для таких вещей, как шифрование дисков. Это объясняет, почему TPM должен быть «включен» или «активен» для загрузки Ubuntu (особенно с проприетарными драйверами дисплея), но нет необходимости «включать» TPM для безопасной загрузки.
С этим пониманием я затем использовал эту статью для удаления старых и ненужных ключей.