Eigene Handschrift: der LowIxOS-Kernel trägt jetzt unsere Signatur

Ein Schritt, der einer Distribution am Herzen liegt: Seit kernel-lowixos 6.18.54-7 (Full-Variante seit -8) ist das Kernel-Abbild mit dem eigenen LowIxOS-Secure-Boot-Schlüssel signiert — nicht mehr nur über die openSUSE-Kette.

Was genau signiert ist

Beim Bau wird das Kernel-Abbild (vmlinuz) per sbsign signiert und direkt im Anschluss mit sbverify geprüft — beide Kernel-Varianten, also kernel-lowixos und kernel-lowixosfull. Das Zertifikat heißt „LowIxOS Secure Boot Signing 2026“ (RSA-2048, Code-Signing, gültig bis 2036) und wird im Paket unter /usr/share/lowixos/secureboot/lowixos-secureboot.der mitgeliefert. Der private Schlüssel liegt ausschließlich als Geheimnis in der Bau-Infrastruktur und landet nie im Repository.

Die Kernel-Module werden zusätzlich bei jedem Bau signiert (CONFIG_MODULE_SIG) — bewusst mit einem Wegwerf-Schlüssel, der je Bau neu entsteht und nicht ausgeliefert wird. Bei aktivem Secure Boot läuft der Kernel außerdem mit lockdown=integrity.

Wie die Aufnahme auf einem System geht

Der LowIxOS-Schlüssel ist nicht in der Firmware vorverankert — er wird per MOK (Machine Owner Key) aufgenommen: Bei der Installation des Pakets merkt ein Skript die Aufnahme per mokutil --import vor; beim nächsten Start fragt der MokManager einmalig nach der Bestätigung. Bis dahin bleibt der SUSE-Kernel der Boot-Standard — ein Sicherungsnetz, damit kein System unsigniert dasteht. Erst nach bestätigter Aufnahme bootet der LowIxOS-Kernel mit eigener Signatur.

Warum das wichtig ist

Damit ist die Vertrauenskette komplett eigen: Upstream-Quelle → Bau auf eigener Infrastruktur → signiertes Paket im eigenen Repository → signiertes Kernel-Abbild auf dem Server. Die openSUSE-Signatur bleibt als Fallback erhalten, aber LowIxOS steht ab jetzt auf eigener Handschrift.

Aktueller Stand: kernel-lowixos 6.18.54-9 liegt im Repository, signiert wie jedes Paket und mit SBOM.