Linux Secure Boot shim/MOK/TPM 2026（リナックスセキュアブート）
Linux Secure Boot+TPM。shim (Microsoft Signed Loader)・shim-review (Vendor Sign Approval)・MOK Machine Owner Key (mokutil)・GRUB 2 Secure Boot対応・systemd-boot+UKI Secure Boot Native対応・Lockdown Mode (Kernel Lockdown integrity/confidentiality)・TPM 2.0 Sealing (Disk Encryption Auto-Unlock)・LUKS+TPM2 (clevis+tang/systemd-cryptsetup)・FIDO2 LUKS Unlock・SBAT (Microsoft+Red Hat Secure Boot Advanced Targeting)、2026年UKI+TPM2 Auto-Unlock普及。
概要
Linux Secure Boot + TPM 2026は、UEFIベースの起動保護とTPM 2.0を組み合わせたセキュリティフレームワークです。shimはMicrosoft署名済みローダーで、shim-reviewでベンダー署名を承認。MOK（Machine Owner Key）をmokutilで管理し、GRUB 2やsystemd-bootがSecure Bootに対応。Lockdown Modeでカーネルの改ざん・機密性を保証し、TPM 2.0 Sealingでディスク暗号化（LUKS+TPM2）を自動解除。2025年以降、UKI+TPM2自動解除が主流化し、2026年にはFIDO2 LUKS Unlockも標準化。MicrosoftとRed HatのSBATが高度なターゲティングを実装。
主な特徴・仕組み
- shim (Microsoft Signed Loader)：64‑bit UEFI環境でLinuxカーネルをロード。
- shim‑review：ベンダー署名承認フロー。
- MOK (Machine Owner Key)：mokutilで追加・削除。
- GRUB 2 Secure Boot対応：最大4,096個の署名キーを管理。
- systemd‑boot + UKI：UEFIキーボードインターフェースでネイティブ起動。
- Lockdown Mode：カーネルモジュールのロード制限、SIP/SMAP強化。
- TPM 2.0 Sealing：LUKSパスフレーズをTPMに格納し、起動時に自動復号。
- LUKS+TPM2（clevis+tang/systemd‑cryptsetup）：自動鍵取得。
- FIDO2 LUKS Unlock：WebAuthnデバイスで暗号鍵を解除。
- SBAT（Secure Boot Advanced Targeting）：Microsoft/Red Hatの高度な署名検証。
数値例
- 24 GB GDDR7（RTX 5090）
- 450 W TDP（Ryzen 9 9950X3D）
- 128 GB DDR5‑6000（ASRock Z790 Taichi）
- 3.5 GHzベース / 5.2 GHzブースト（Intel Core i9‑12900K）
- 1 TB NVMe（Samsung 980 Pro）
- 2 TB SATA（Seagate FireCuda 530）
- 10 Gbps PCIe 4.0（MSI MEG X570 GODLIKE）
- 64‑bitアーキテクチャ（Ubuntu 22.04 LTS）
スペック比較表
| 要素 | shim | MOK | TPM 2.0 Sealing | UKI+TPM2 Auto‑Unlock | FIDO2 LUKS Unlock |
|---|---|---|---|---|---|
| 署名方式 | Microsoft X509 | 自前PKCS#12 | TPM NVMe Key | TPM NVMe Key | FIDO2 WebAuthn |
| キー数 | 1 | 1 | 1 | 1 | 1 |
| 自動解除 | なし | なし | あり | あり | あり |
| 対応OS | Ubuntu, Fedora | Ubuntu, CentOS | Ubuntu, Debian | Ubuntu, Fedora | Ubuntu, Arch |
| 主要用途 | 起動ローダー | カーネルモジュール | ディスク暗号化 | ディスク暗号化 | ディスク暗号化 |
具体例・対応製品
| 製品 | 主な特徴 | 2025‑2026トレンド対応 |
|---|---|---|
| ASRock Z790 Taichi | TPM 2.0 2.0 Tコア、UKI対応 | 2025年にTPM 2.0標準化 |
| Gigabyte B550 AORUS Elite | TPM 2.0 1.5 Tコア、shim‑review | 2026年にFIDO2 LUKS Unlock |
| MSI MEG X570 GODLIKE | 10 Gbps PCIe 4.0、Lockdown Mode | 2025年にLockdown Mode拡張 |
| Intel Core i9‑12900K | 16コア 24スレッド、450 W TDP | 2026年にUKI+TPM2自動解除 |
| RTX 5090 | 24 GB GDDR7、3.5 GHzベース | 2025年に高帯域GPUでSecure Boot対応 |
自作PCでの選び方・注意点
- TPM 2.0の有無：マザーボードにTPMチップが組み込まれているか確認。
- UEFI Secure Boot対応：BIOS設定でSecure Bootを有効にし、shimをインストール。
- MOK管理：
mokutil --importでカーネルモジュール用キーを追加。 - Lockdown Mode：必要なら
systemctl enable systemd‑lockdownで有効化。 - ディスク暗号化：LUKS+TPM2を採用し、clevisとtangで自動鍵取得。
- FIDO2デバイス：YubiKeyやパスキーを準備し、
systemd‑cryptsetupで統合。 - BIOSアップデート：最新ファームウェアでSBATやTPM 2.0の互換性を確保。
- 電源容量：450 W TDP以上のCPUと24 GB GDDR7 GPUを組み合わせる場合、550 W以上推奨。
関連用語との違い
- Secure Boot vs. shim：Secure BootはUEFIレベルの署名検証。shimはMicrosoft署名済みローダーで、Secure Boot下でLinuxを起動。
- MOK vs. TPM：MOKはユーザーが管理する署名キー。TPMはハードウェアベースの鍵格納。
- Lockdown Mode vs. SELinux：Lockdownはカーネルレベルの改ざん防止。SELinuxはユーザー空間のアクセス制御。
よくある質問(FAQ)
Q1. Linuxカーネルを自前でビルドした場合、MOKを使わずにSecure Bootで起動できますか？
A1. 可能ですが、カーネルにMicrosoft署名を付与する必要があります。sign-fileツールで署名し、shimを通じてロード。
Q2. TPM 2.0を搭載していないマザーボードでもLUKS+TPM2は利用できますか？
A2. いいえ。TPM 2.0はハードウェア鍵格納が必要。代替はclevis‑tangで外部サーバーに鍵を保管。
Q3. FIDO2 LUKS Unlockを有効にすると、起動時にパスワード入力は不要ですか？
A3. はい。WebAuthnデバイス（YubiKey等）がTPMに格納された鍵を復号し、パスワード無しで起動。
まとめ
Linux Secure Boot + TPM 2026は、shimとMOKでUEFI署名を通過させ、TPM 2.0 Sealingでディスク暗号化を自動化。Lockdown Modeでカーネル改ざんを防止し、FIDO2 LUKS Unlockでユーザー体験を向上。2025年以降、UKI+TPM2自動解除とFIDO2 LUKS Unlockが主流化し、2026年にはMicrosoft/Red Hat SBATも標準化。自作PCを構築する際は、TPM搭載マザーボード、UEFI Secure Boot、MOK管理、Lockdown Modeの設定を必ず確認し、電源容量とディスク暗号化を計画的に選択することで、堅牢かつ使い勝手の良いシステムを実現できます。