Questo non è un bug, è una funzionalità.
Come dice Anthony Wong, quando installi un pacchetto DKMS stai compilando il pacchetto da solo, quindi Canonical non può firmare il modulo per te.
Tuttavia, puoi sicuramente utilizzare Secure Boot, tuttavia questo è esattamente il caso d'uso in cui Secure Boot sta cercando di proteggerti da te stesso perché non può sapere se ti fidi di un modulo o no.
Per impostazione predefinita , esiste una chiave di piattaforma (PK) sul computer UEFI, che è l'autorità di certificazione in definitiva affidabile per il caricamento del codice nel processore.
GRUB, o shim o altri meccanismi di avvio possono essere firmati digitalmente da un KEK che è considerato attendibile dalla CA principale (PK), e quindi il tuo computer può, senza alcuna configurazione, avviare software come Ubuntu Live USB / DVD.
Su Ubuntu 16.04 il kernel è costruito con CONFIG_MODULE_SIG_FORCE = 1, il che significa che il kernel imporrà ai moduli di essere firmati da una chiave attendibile nella piattaforma. Prendi in considerazione che la piattaforma UEFI per impostazione predefinita contiene un PK su cui non hai alcun controllo e quindi non puoi firmare i binari con una chiave riconosciuta dal tuo computer.
Alcune persone si scontrano e si scontrano contro questo, ma non c'è davvero modo migliore (dal punto di vista della sicurezza) di essere te stesso che registra la nuova chiave che desideri.
Se il tuo sistema di avvio utilizza lo shim, puoi usare qualcosa chiamato database delle chiavi del proprietario della macchina e registrare la tua chiave come MOK (puoi farlo con mokutil). In caso contrario, è anche possibile registrare la chiave nel database UEFI come chiave di firma.
Dopo aver registrato la chiave, puoi firmare il tuo pacchetto DKMS con il tuo MOK (dovrebbe esserci uno script perl su /usr/src/kernels/$(uname -r)/scripts/sign-file) e dopo che è stato firmato, puoi caricarlo nel kernel .
Certo, qualcuno dovrebbe dare più istruzioni visive su questo, e probabilmente anche creare un wizard o uno standard DKMS migliore per consentire di prendere in considerazione le chiavi, ma questo è ciò che abbiamo al momento.
È possibile fare riferimento a questa spiegazione su come firmare i propri moduli del kernel: https://askubuntu.com/a/768310/12049