Linux安全启动MOK密钥自动注册及到期自动续期方案问询

MOK（Machine Owner Key）的注册机制由UEFI Secure Boot框架原生定义，强制要求重启后进入UEFI界面完成手动交互验证，没有办法完全通过脚本跳过密码输入、确认注册的步骤。这个设计属于安全特性，目的是避免恶意程序静默向系统信任根注入恶意密钥，正常场景下无法绕过。

除了必须手动操作的UEFI确认环节外，其余密钥管理流程都可以通过脚本实现自动化，降低续期的操作成本：

• 自动生成有效期符合要求的新密钥对，参考命令：

openssl req -new -x509 -newkey rsa:2048 -keyout MOK.priv -outform DER -out MOK.der -days 730 -subj "/CN=自定义密钥标识/" -nodes

• 自动提交MOK注册请求，可在脚本中预设一次性验证密码，后续仅需在UEFI界面输入该密码即可完成确认，参考命令：

mokutil --import MOK.der << EOF
预设的验证密码
预设的验证密码
EOF

• 配置定时任务提前触发续期提醒，避免密钥过期导致业务故障
• 手动验证完成重启后，脚本自动校验密钥是否注册成功，参考命令：
  mokutil --list-enrolled | grep "自定义密钥标识"
• 校验通过后自动清理本地敏感密钥文件，也可自动提交旧密钥的删除请求，旧密钥删除同样需要一次重启后的手动确认。

如果你使用的是完全自主管控的物理服务器，且支持带外管理功能，可以通过以下方案实现完全无交互的密钥续期，不需要手动操作UEFI界面：

• 直接将公钥烧录到UEFI的db信任列表中，不需要走MOK注册流程，后续续期仅需要通过IPMI/iDRAC等带外接口远程刷新UEFI固件即可
• 编译自定义的shim二进制，关闭MOK交互验证要求，直接信任你指定的密钥，该方案会降低Secure Boot的安全防护等级，不建议在公网暴露的服务器上使用。

内容的提问来源于stack exchange，提问作者jimbolino