在Debian系统中实现安全启动（Secure Boot）与内核模块签名验证，意味着你需要让系统只加载经过可信签名的内核和模块，以阻止恶意软件在启动过程中植入。具体操作涉及生成密钥、签名内核与模块、配置引导加载程序以及将密钥注册到UEFI固件中。下面将逐步拆解这个过程。
理解安全启动与内核模块签名的核心机制
安全启动是UEFI固件的一项功能，它要求所有引导加载程序、内核以及内核模块必须经过可信数字签名才能加载。Debian默认并不强制启用此功能，但你可以手动配置。整个流程依赖于公钥基础设施（PKI）：你生成一对密钥（私钥用于签名，公钥用于验证），将公钥注册到UEFI中，然后用私钥为内核和模块签名。这样，只有被你签名的组件才能被系统加载，未经签名或签名无效的模块会被拒绝。
生成和配置签名所需的密钥
首先，安装必要的工具包：apt-get install sbsigntool efitools openssl。然后，创建一个目录存放密钥，例如/root/secureboot，并生成密钥对。使用openssl生成私钥和公钥证书：
openssl req -newkey rsa:4096 -nodes -keyout MOK.key -new -x509 -sha256 -days 3650 -subj "/CN=My Secure Boot Key/" -out MOK.crt openssl x509 -outform DER -in MOK.crt -out MOK.cer
这里，MOK.key是私钥，MOK.crt和MOK.cer是公钥证书（DER格式适用于UEFI）。注意，密钥的CN字段可以自定义，但建议使用易识别的名称。生成后，确保私钥安全存储，避免泄露。
签名内核与内核模块
对内核进行签名使用sbsign命令。假设你的内核镜像位于/boot/vmlinuz-$(uname -r)，签名后输出为新文件：
sbsign --key MOK.key --cert MOK.crt /boot/vmlinuz-$(uname -r) --output /boot/vmlinuz-$(uname -r).signed mv /boot/vmlinuz-$(uname -r).signed /boot/vmlinuz-$(uname -r)
对于内核模块，Debian使用kmodsign工具。首先，确保模块已编译并位于/lib/modules/$(uname -r)/目录下。签名单个模块的命令为：
kmodsign sha256 MOK.key MOK.crt /path/to/module.ko
若要自动签名所有模块，可以编写脚本遍历模块目录。但更高效的方法是配置DKMS（动态内核模块支持）在构建时自动签名。编辑/etc/dkms/framework.conf，添加sign_tool="/path/to/sign_module.sh"，并在脚本中调用kmodsign。这样，每次更新内核或模块时，签名都会自动应用。
配置引导加载程序以支持安全启动
Debian常用GRUB2作为引导加载程序。你需要确保GRUB2本身也被签名，或者使用UEFI直接加载已签名的内核。首先，安装GRUB的EFI版本：apt-get install grub-efi-amd64-signed。然后，更新GRUB配置以指向已签名的内核：运行update-grub，它会自动检测/boot中的内核。如果GRUB需要签名，可以使用sbsign对grubx64.efi进行签名，但Debian的grub-efi-amd64-signed包通常已包含预签名版本。检查/boot/efi/EFI/debian/目录下的文件，确保grubx64.efi或shimx64.efi存在。
向UEFI固件注册公钥
将公钥MOK.cer注册到UEFI中，使用mokutil工具：mokutil --import MOK.cer。这会提示你设置一个一次性密码，重启系统时UEFI的MOK（Machine Owner Key）管理界面将出现，按提示输入密码完成注册。或者，如果UEFI支持，可以直接通过固件设置界面导入证书。注册后，UEFI将信任由该密钥签名的所有组件。验证注册状态：mokutil --list-enrolled显示当前已注册的密钥。
测试与故障排除
重启系统，进入UEFI设置确保安全启动处于启用模式。如果配置正确，系统应正常启动；如果失败，可能原因包括：密钥未正确注册、内核签名无效或GRUB未签名。在恢复模式下，你可以禁用安全启动临时排查。使用dmesg | grep -i secure检查内核日志中安全启动的状态，确认是否报告为活动。对于模块签名，加载未签名模块时会返回"Required key not available"错误，这表示验证生效。若要临时绕过，可以禁用模块验证：修改内核参数在/etc/default/grub中添加module.sig_enforce=0，但这不是推荐做法。
自动化与持续维护的最佳实践
为了简化流程，建议将签名步骤集成到系统更新过程中。创建一个脚本，在apt升级后自动签名新内核和模块，并使用cron或systemd定时运行。同时，备份密钥到安全位置，避免丢失导致系统无法启动。对于多机环境，可以考虑使用统一的CA证书进行签名，便于管理。此外，定期检查UEFI密钥数据库，移除过期或不再使用的密钥，以保持安全策略的严密性。
安全启动与模块签名的实际影响分析
启用这些功能后，系统启动链条的安全性显著提升，能有效防御rootkit等低级攻击。但这也带来一些权衡：例如，第三方或自定义硬件驱动必须经过签名才能加载，可能增加维护复杂度。在Debian社区中，对于是否默认强制启用存在讨论，用户需根据自身安全需求决定。从行业角度看，随着硬件漏洞增多，结合TPM（可信平台模块）的全链条验证将成为趋势，而Debian的灵活配置为此提供了基础。
总之，在Debian中配置安全启动与内核模块签名验证是一个逐步过程，涉及密钥管理、组件签名和固件设置。虽然初始设置稍显繁琐，但一旦完成，它能提供强大的启动时保护。建议在生产环境中测试后再部署，并保持文档更新以应对未来的内核或UEFI变更。
