安全启动通过UEFI固件验证引导组件签名，防止恶意程序加载。配置需启用UEFI模式并开启Secure Boot，选择支持的发行版如Ubuntu、Fedora等，安装后使用sudo mokutil --sb-state验证状态，自定义模块需签名并注册公钥至MOK，第三方驱动须手动签名以确保加载。
Linux系统中配置安全启动（Secure Boot）能有效防止未经授权的引导加载程序和内核模块在系统启动时运行，从而提升系统的安全性。安全启动依赖UEFI固件功能，通过加密签名验证引导组件的合法性。以下是具体的配置与验证方法。
启用UEFI模式并开启安全启动
确保系统运行在UEFI模式下是配置安全启动的前提。传统BIOS不支持该功能。
- 重启系统进入UEFI/BIOS设置界面（通常按F2、Del或Esc键）
- 确认“Boot Mode”设置为“UEFI”，禁用“Legacy Support”或“CSM”
- 找到“Secure Boot”选项，将其设置为“Enabled”
- 保存设置并退出
部分主板可能需要设置管理员密钥（PK）、平台密钥（KEK）和签名数据库（db），厂商默认通常已预置微软和发行版的公钥。
选择支持安全启动的Linux发行版
并非所有Linux发行版都默认支持安全启动。主流发行版如Ubuntu、Fedora、RHEL、SUSE等已集成支持。
- Fedora和RHEL系列使用shim和GRUB2，由Red Hat签名，可直接通过验证
- Ubuntu使用Canonical签名的shim和引导程序
- 自定义内核或第三方驱动需自行签名并导入密钥
安装系统前确认镜像支持UEFI启动，并从UEFI引导U盘或光盘启动安装程序。
验证安全启动是否生效
系统启动后，可通过以下命令检查安全启动状态：
sudo mokutil --sb-state
若输出显示“SecureBoot enabled”，表示安全启动已激活且正常工作。
本书图文并茂，详细讲解了使用LAMP（PHP）脚本语言开发动态Web程序的方法，如架设WAMP平台，安装与配置开源Moodle平台，PHP程序设计技术，开发用户注册与验证模块，架设LAMP平台。 本书适合计算机及其相关专业本、专科学生作为学习LAMP（PHP）程序设计或动态Web编程的教材使用，也适合对动态Web编程感兴趣的读者自觉使用，对LAMP（PHP）程序设计人员也具有一定的参考价值。
也可查看内核消息确认：
dmesg | grep -i secure
输出中应包含“Secure boot enabled”等相关信息。
对于使用自定义内核模块的情况，需使用私钥签名模块，并将对应公钥注册到MOK（Machine Owner Key）列表中。
处理常见问题
安全启动启用后可能出现无法引导或驱动加载失败的问题。
- 若系统无法启动，检查UEFI中是否信任当前发行版的shim签名
- 第三方NVIDIA或VirtualBox驱动需手动签名，否则会被拒绝加载
- 使用sbverify工具检查引导文件签名有效性
- 必要时可通过MOK管理工具注册自定义密钥
注意：禁用安全启动虽可绕过问题，但会降低系统安全性，建议优先解决签名问题。
基本上就这些。只要系统固件支持、发行版兼容，并正确配置密钥链，Linux的安全启动就能稳定运行，有效防御引导级恶意软件。
