Crosshair 16 Max HX E2WGXK（MS-2652）啟用 Secure Boot 後，Ubuntu/Kubuntu 無法開機，顯示「Invalid signature detected」

[dryada707415c902e8]

大家好，

我最近在 MSI Crosshair 16 Max HX E2WGXK（MS-2652）上安裝 Ubuntu/Kubuntu，發現 Secure Boot 似乎存在相容性問題，想確認是否有人遇過相同狀況，或請 MSI 協助確認。

機器資訊：

Model：MSI Crosshair 16 Max HX E2WGXK
Mainboard：MS-2652
BIOS：E2652IMS.507（目前最新版本）

系統配置：

• Windows 11（NVMe1）
• Kubuntu 26.04（NVMe0）
• UEFI 安裝
• Intel VMD 已關閉

目前狀況如下：

Secure Boot 關閉：

✔ Windows 正常開機
✔ Kubuntu 正常開機

Secure Boot 開啟：

✔ Windows 正常開機
✘ Kubuntu 在 GRUB 啟動前即被 BIOS 拒絕

畫面顯示：

Secure Boot Violation

Invalid signature detected.
Check Secure Boot Policy in Setup.

目前已經完成以下排查：

✔ BIOS 更新至最新版 E2652IMS.507
✔ Restore Factory Secure Boot Keys
✔ Secure Boot Mode = Standard
✔ System Mode = Deployed
✔ Windows Secure Boot 正常
✔ TPM Event Viewer (Event ID 1808) 正常
✔ Boot Entry 指向 EFI\ubuntu\shimx64.efi
✔ shimx64.efi 已確認為 Microsoft 官方簽署
✔ grubx64.efi 已確認為 Canonical 官方簽署
✔ Ubuntu 使用官方 signed kernel
✔ shim-signed、grub-efi-amd64-signed 均為官方套件
✔ EFI Partition 中的 shim 與 Ubuntu 套件 SHA256 完全一致
✔ Canonical MOK 已存在
✔ SBAT 正常
✔ BIOS 的「Enroll EFI Image」也測試過，仍然無法開機

目前看起來 Ubuntu 的 Secure Boot 啟動鏈都是正常的，但 BIOS 仍然在 GRUB 啟動之前拒絕 Microsoft 簽署的 shim。

想請問：

1. 是否有相同機型（Crosshair 16 Max HX E2WGXK / MS-2652）的使用者成功使用 Ubuntu 或 Kubuntu 搭配 Secure Boot？
2. MSI 是否可以協助確認 BIOS E2652IMS.507 是否存在 Canonical（Ubuntu）Secure Boot 的相容性問題？

 

[蛋挞只是经过G]

你試試下面那個鏈接內容在Windows下手動植入DB KEY看看

微星科技 - 高階電競及專業創作的領導品牌

微星科技以電競產業領導之姿，堅強的品牌實力，不斷在主機板，顯示卡，筆電，桌機與電競螢幕等領域上創新，同時還跨入創作領域，為遊戲愛好者與文創工作者提供最佳助力

tw.msi.com

 

[dryada707415c902e8]

你試試下面那個鏈接內容在Windows下手動植入DB KEY看看

微星科技 - 高階電競及專業創作的領導品牌

微星科技以電競產業領導之姿，堅強的品牌實力，不斷在主機板，顯示卡，筆電，桌機與電競螢幕等領域上創新，同時還跨入創作領域，為遊戲愛好者與文創工作者提供最佳助力

tw.msi.com

謝謝您的建議。

我已經依照類似的方法測試過 BIOS 的手動信任機制。

在 BIOS 的「Enroll EFI Image」功能中，我手動加入了 Ubuntu 官方的 Microsoft-signed shim：

EFI\ubuntu\shimx64.efi

這個檔案就是 Ubuntu Secure Boot 的第一階段 bootloader（由 Microsoft 簽署），也是目前 EFI Boot Entry 所指向的檔案。

另外，我也已經確認：

- /boot/efi/EFI/ubuntu/shimx64.efi 與 Ubuntu 官方套件 (/usr/lib/shim/shimx64.efi.signed) 的 SHA256 完全一致。
- 使用 sbverify 驗證，確認 shim 為 Microsoft 正式簽署。
- 使用 sbverify 驗證，確認 grubx64.efi 為 Canonical 正式簽署。

完成 Enroll EFI Image 後再次測試，結果仍然相同：

Secure Boot Violation
Invalid signature detected.

因此，目前看起來並不是 Ubuntu shim 未被信任的問題。

 

[蛋挞只是经过G]

Kubuntu這個系統盤是你全新安裝的還是你從其它電腦移過來的舊盤？
不確定你這個Kubuntu到底依賴哪個版本的微軟簽章（2023或者其它舊版本） ，你可以在這個系統下用命令行確認一下

 

[dryada707415c902e8]

Kubuntu這個系統盤是你全新安裝的還是你從其它電腦移過來的舊盤？
不確定你這個Kubuntu到底依賴哪個版本的微軟簽章（2023或者其它舊版本） ，你可以在這個系統下用命令行確認一下

全新安裝的, 標準ubuntu我也測試過
也是一樣

 

[蛋挞只是经过G]

全新安裝的, 標準ubuntu我也測試過
也是一樣

我幫你找了一下不確定是否適用你的系統，你可以參考這個鏈接內容確認你這個linux系統具體是依賴微軟體簽章的哪個版本

UEFI Secure Boot: Microsoft 2023 Certificate Transition | AlmaLinux Wiki

AlmaLinux OS Documentation

wiki.almalinux.org

 

[dryada707415c902e8]

我幫你找了一下不確定是否適用你的系統，你可以參考這個鏈接內容確認你這個linux系統具體是依賴微軟體簽章的哪個版本

UEFI Secure Boot: Microsoft 2023 Certificate Transition | AlmaLinux Wiki

AlmaLinux OS Documentation

wiki.almalinux.org

是依賴2011
問過官方是說這台ca已經是2023
另一邊還是2011 所以沒辦法..