Ubuntu chiede Enroll MOK dopo un driver: cosa verificare

Perché un driver può richiedere una chiave

Con Secure Boot attivo, Ubuntu verifica anche i moduli del kernel che vengono caricati. Alcuni driver di terze parti vengono costruiti sul computer tramite DKMS e firmati con una chiave locale. La registrazione di una Machine Owner Key, abbreviata MOK, può quindi essere un passaggio previsto dopo l'installazione.

Non ogni problema di driver dipende però da Secure Boot. Una periferica assente, un modulo incompatibile e una firma non autorizzata sono cause diverse. Questa guida aiuta a riconoscere una richiesta attesa, non a certificare l'affidabilità di un driver sconosciuto.

Ricostruire l'operazione precedente

Chiediti quale installazione o aggiornamento hai appena autorizzato. Annota nome del pacchetto, provenienza e messaggi mostrati durante la procedura. Il flusso Ubuntu può chiedere una password temporanea da usare al successivo avvio per confermare la registrazione della chiave.

Se non hai installato driver né avviato operazioni che giustificano la richiesta, non confermare soltanto per raggiungere il desktop. Su un computer gestito dall'organizzazione, coinvolgi chi lo amministra: decidere quali chiavi considerare attendibili fa parte della politica di sicurezza del dispositivo.

Consultare lo stato senza modificarlo

Quando Ubuntu è accessibile, il comando mokutil --sb-state mostra lo stato Secure Boot, se mokutil è disponibile. Non registra chiavi e non disabilita controlli. Il comando mokutil --list-new elenca eventuali chiavi in attesa di registrazione; anche questa è una consultazione.

Questi risultati vanno collegati all'installazione che hai realmente eseguito. Vedere una chiave in attesa non dimostra che il suo autore sia affidabile. Se il comando segnala che l'ambiente non supporta le variabili EFI, conserva il messaggio: non cambiare modalità di avvio del firmware come tentativo di correzione.

Seguire soltanto una registrazione attesa

Nel flusso ufficiale Ubuntu, al riavvio MokManager può presentare Enroll MOK. Prima della conferma esamina il certificato e la sua impronta, confrontandoli con la richiesta generata dall'operazione autorizzata. Se non riesci a stabilire la corrispondenza, interrompi la registrazione e chiedi una verifica.

Quando la richiesta è identificata, segui il percorso guidato e usa la password temporanea impostata per quell'operazione. Non fornire automaticamente la password del disco o dell'account. Dopo il riavvio controlla il funzionamento della periferica: la chiave autorizzata permette la verifica del modulo, ma non garantisce compatibilità hardware o assenza di altri errori.

Proteggere anche gli altri sistemi presenti

Non cancellare chiavi, non azzerare il TPM e non disabilitare Secure Boot per eliminare l'avviso. Prima di qualsiasi modifica programmata al firmware o alla catena di avvio, verifica backup e disponibilità delle chiavi di recupero dei sistemi cifrati presenti, compreso un eventuale Windows.

Se la schermata ricompare senza spiegazione o il driver resta inutilizzabile, conserva nome del modulo e messaggio. La correzione potrebbe riguardare la costruzione o la versione del driver; ripetere registrazioni e cambiamenti di sicurezza non chiarisce questi problemi.

Domande frequenti

La password MOK è la password con cui accedo a Ubuntu?

Non necessariamente. Nel percorso guidato può essere una password temporanea scelta durante l'installazione o l'aggiornamento. Non confonderla con credenziali dell'account o cifratura del disco.

Se disattivo Secure Boot evito tutti gli errori dei driver?

No. Cambieresti una protezione senza risolvere incompatibilità o compilazioni fallite. Verifica prima se l'errore riguarda davvero la firma e segui il percorso supportato.