Un problème de "shim"

[redelap]

Bonjour
Première fois que je tombe la dessus
Depuis une clé Live, je procède comme d'hab à un formatage du disque dur interne
Puis je lance l"install
"erreur: mauvaise signature du shim
"erruer: le noyau doit d'abord être chargé"

et là je ne sais pas du tout comment m'en sortir...
J'ai feuillété le forum, mais pas trouvé de piste...
C'est quoi le shim ?
J'ai refait la clé live, mais même effet...

Une piste ?
Merci de vos lumières

[redelap]

A l'occasion d'une première install qui avait aboutit, je l'avais désactivé...
Maintenant une distribution LM est installée sur le disque dur...
C'est ce message "shim" que j'obtiens au boot
Même en récovery mode

et je n'arrive plus à booter sur la clé...
Premère fois que je vois ça...
un pb de bios ?

[redelap]

Merci Cyrille: je crois que ce premier temps est le bon...
En cours de réinstall
Je reviens pour le résultat...
----------
Super !! merci cyrille pour cette bouée de sauvetage...
J'essayerai de m'en souvenir...

Install et reboot sans pb...
Merci

[James]

Bonjour, non résolu pour moi.
J'ai toujours l'erreur :
"erreur: mauvaise signature du shim
"erreur: le noyau doit d'abord être chargé"

La solution d'enlever le Secure Boot ne fonctionne pas, et lorsque que je reviens dans le BIOS, le SecureBoot est de nouveau autorisé (comme s'il s'enclenchait tout seul).
Précision : LinuxMint 21.02 boot bien en Live USB sur le PC et tout fonctionne parfaitement.
J'ai essayer plusieurs solutions de création de nouvelles clefs etc sans m'en sortir.

Quelqu'un aurai-t’il une idée ?
Merci par avance.

James
---
PC HP ProBook 650G2 - Intel (R) Core( TM) i5-6200U CPU @ 2.30Ghz
System Bios N76 VER. 01.59 12/15/2022

[Raichu]

Bonjour.

J’ai le même problème avec un HP TPN C 125 en l’occurrence. J’aurais aimé que vous postiez ici le lien du thread créé pour @james, vu que ce post est bien référencé et qu’on reste bien sur le suspense de comment ce problème s’est ou non résolu…

Pour répondre au post sans sembler le «squatter» effectivement ce message d’erreur apparaît généralement lorsque le secure boot est activé (cela semble dû aux exactions de microsoft dans les années 2012 quand ils ont imposé le secure boot par défaut sur tous les ordis ayant windows 8 en mettant les clés windows 8+ en natif dans les ordis, pour interdire le boot sous linux. le compromis trouvé avec la linux fondation, redhat et compagnie est d'acheter à microsoft le droit d’ajouter aussi une clé en natif d’un logiciel qui s’appelle shim et qui démarrera en surcouche en plus du grub avant de lancer le noyau linux).
Ce qu’il est nécessaire de comprendre dans ce message d’erreur c’est que le secure boot indique reconnaître la signature du grub, mais pas celle du shim, ce qui implique qu’il est nécessaire soit de l’ajouter avec mok soit de désactiver secure boot.

Concernant mon problème, mon secure boot se réactive également tout seul. J’ai changé la pile CMOS qui en avait besoin mais l’erreur persiste. Lorsque je désactive secure boot l’ordi s’éteint et se rallume tout seul plusieurs fois, puis dans le bios je vois que le secure boot est toujours activé.
Je ne parviens plus à démarrer sur la live usb non plus en UEFI. En revanche lorsque je modifie le bios pour démarrer en legacy, même si l’ordi s’éteint et se rallume, le grub de la live usb se charge normalement (mais la clé du shim n’est pas reconnue).
Sur le mint interne en UEFI idem que sur la live usb en legacy la signature du grub fonctionne mais pas celle du shim.
Sur la live usb en UEFI j’ai directement «Verification failed 0x1A security violation», et à partir de là je peux lancer mok et charger manuellement des clés. Aucune clé n’apparaît avec l’option «enroll key from disk», en revanche je parviens à faire du «enroll hash from disk» même si je n’ai aucun moyen de vérifier que ça ait fonctionné.
Je précise enfin que c’est un dual boot avec windows et que le windows démarre, soit tout seul avec l’ordre de boot depuis le bios, soit depuis le grub du disque interne.

Je reposterai un message (soit ici soit dans un autre thread dont vous aurez le lien ici) si mon problème se résout.

[Raichu]

Problème résolu, il y a une option dans le bios pour effacer toutes les clés, cela désactive le secure boot «de force».
En espérant avoir aidé…

[Cake]

Bonjour.

Pardon de relancer un Thread "résolu"
mais je me trouve confronté au même problème :

sauf erreur de ma part, lors de l'installation
Secure Boot s'active pour permettre le téléchargement de différents pilotes (notamment graphique).
La désactivation à posteriori de Secure Boot représente à mon sens une faille...

J'ai cru lire quelque-part que le problème viendrai
de ce que GRUB ne prends pas en charge Secure Boot.

Je n'en sais pas plus, si quelqu'un à un éclair de génie, je suis preneur

[alain]

Bonjour Cake.
Je n'ai pas d'éclair de génie. Mais j'interviens pour rétablir la vérité.

lors de l'installation
Secure Boot s'active pour permettre le téléchargement de différents pilotes (notamment graphique).

Non le téléchargement des pilotes ne nécessite pas le Secure Boot. Je dirai même qu'au contraire, j'ai vu passé sur le forum le cas d'un pilote qui nécessitait la désactivation du sécure boot.

La désactivation à posteriori de Secure Boot représente à mon sens une faille...

Ça c'est ce que dit Microsoft. A l'origine le secure boot a été fait pour interdire l'installation de tout autre OS que windows.
Il a fallu une loi européenne pour que d'autre OS soient certifiés et acceptés par le secure boot. (au passage il reste quelques pays où le sécure boot n'est pas forcément désactivable, t'achète un ordi dans ce pays t'es mal pour installé un OS non certifié, il n'y a que flashage du bios si c'est possible pour récupérer la désactivation du secure boot)
Avec la les lois "anti trust" européennes précédentes, M$ pensait (avec raison) que le fait de pouvoir désactiver le secure boot était suffisant pour être dans les clous.
A mon avis personnel en t'interdisant d'installer certaines choses, au contraire le secure boot est une faille.

GRUB ne prends pas en charge Secure Boot.

Pas du tout, c'est l'inverse. Le secure boot n'acceptait pas grub avant la loi sus-citée.
Et que veux tu que le grub fasse de sécure boot? Il ne l'utilise pas, il en a rien a faire de ce que des multinationales veulent ou pas interdire telle ou telle autre chose. Si il a pû être installé c'est soit que le secure boot a été désactivé, soit que la distribution qui le contient est certifiée.
aparté: Je me demande bien qui décide quel OS peut être certifié

Linux Mint ainsi que la plupart des grandes distributions sont désormais certifies et ne nécessitent plus la désactivation du sécure boot. Sauf dans quelques cas comme celui du pilote wifi dont je parlais plus haut.