В Arch Linux настройка Secure Boot не предусмотрена по умолчанию, поэтому для установки системы часто требуется его отключение или ручная подпись образа. Использование утилиты sbctl для замены заводских ключей UEFI на собственные считается рискованным методом, способным нарушить работу системы.
Автор предлагает способ добавления ключа Arch Linux в существующую базу данных UEFI без удаления заводских сертификатов и сертификатов Microsoft. Для реализации метода необходима материнская плата с поддержкой управления ключами UEFI, например ASUS Prime 790-P, и USB-накопитель в формате FAT для резервного копирования.
Процесс включает генерацию ключей RSA 4096-бит через OpenSSL и добавление публичного ключа в раздел DB интерфейса UEFI. Для автоматизации подписи Unified Kernel Image (UKI) при каждом обновлении ядра используется созданный пользователем хук mkinitcpio, который подписывает образ при запуске.
Данный подход позволяет активировать Secure Boot, сохраняя исходную цепочку ключей производителя. Настроенный скрипт обеспечивает автоматическую подпись новых версий ядра после их установки через пакетный менеджер, что избавляет от необходимости выполнять операцию вручную.
