开启Secure Boot时shim无法加载rEFInd的问题该如何解决？

背景 #

我的设备shim版本为15.4，开启Secure Boot时可正常加载Ubuntu 21.10系统。随后我参考官方教程，在Ubuntu 21.10中通过PPA安装了发博时最新版本rEFInd v0.13.2。但重启系统加载rEFInd时始终失败，报错Verification failed:(0x1A)Security Violation。我已确认EFI/refind/keys/路径下的refind_local.cer和refind.cer均已通过MokManager注册（尽管通过PPA安装仅需注册refind_local.cer）。

解决方案 #

出现该报错的核心原因是rEFInd v0.13.2默认自带的shim文件和设备预装的shim 15.4版本签名不兼容，导致Secure Boot校验链断裂，可通过复用系统可信shim的方式解决：

• 先卸载当前PPA安装的rEFInd：sudo apt remove --purge refind
• 下载rEFInd官方二进制安装包，执行安装脚本时添加--shim /boot/efi/EFI/ubuntu/shimx64.efi参数，强制调用系统已有的可信shim文件加载rEFInd
• 安装完成后重启进入MokManager界面，仅导入/boot/efi/EFI/refind/keys/refind_local.cer即可，无需导入官方的refind.cer
• 重启后进入BIOS设置，保持Secure Boot开启状态，将rEFInd设置为第一启动项即可正常加载

内容的提问来源于stack exchange，提问作者Hollow Man