Secure Boot
Secure Boot et la clé Cyclop.
Le Secure Boot ne laisse démarrer que des logiciels signés avec une clé que la machine connaît. Voici ce que cela change pour Cyclop OS, comment inscrire la clé de Cyclop une fois pour toutes, et ce que vous verrez au premier démarrage.
Ce que fait le Secure Boot, et quand il faut agir
Quand le Secure Boot est actif, le micrologiciel vérifie la signature de tout ce qu’il démarre : le chargeur de démarrage, puis le noyau. Ce qui n’est pas signé, ou signé avec une clé inconnue de la machine, est refusé.
Le noyau Ubuntu livré avec Cyclop OS est signé avec une clé que le micrologiciel connaît déjà : il démarre avec le Secure Boot actif et vous n’avez rien à faire. Vous n’agissez que pour le noyau Cyclop (linux-cyclop), signé avec notre propre clé. Ce noyau arrive avec le Patch 3 de la version 4.0.
Actif ou non, c’est votre choix : le noyau Cyclop démarre aussi avec le Secure Boot coupé, sans clé à inscrire.
Vérifier l’état de votre machine
Deux commandes disent où vous en êtes. La première indique si le Secure Boot est actif, la seconde quel noyau tourne.
mokutil --sb-state
uname -r
Le noyau Cyclop affiche 7.3.1-cyclop1-x64v3 ou 7.3.1-cyclop1-generic. Tout autre affichage, c’est le noyau Ubuntu.
Inscrire la clé Cyclop (une seule fois)
La clé est un fichier installé avec le noyau. Vous la remettez au micrologiciel avec mokutil, vous choisissez un mot de passe à usage unique, puis vous confirmez au démarrage suivant. Ensuite, chaque mise à jour du noyau Cyclop démarre sans rien demander.
- Lancez la commande ci-dessus dans un terminal. Elle demande un mot de passe deux fois. Prenez un mot court dont vous vous souviendrez deux minutes : il ne sert qu’une fois.
- Redémarrez l’ordinateur.
sudo mokutil --import /usr/share/linux-cyclop/7.3.1-cyclop1-x64v3/cyclop-secureboot.der
L’écran bleu qui suit suppose souvent un clavier américain. Choisissez un mot de passe fait de lettres et de chiffres seulement, pour ne pas être piégé par une touche qui tape autre chose.
L’écran bleu au premier démarrage
Juste après le redémarrage, avant Cyclop OS, un écran bleu intitulé MOK management apparaît. C’est le micrologiciel qui vous demande de confirmer. Ce n’est pas un avertissement contre Cyclop : c’est la façon normale d’ajouter une clé.
- Un premier écran affiche Press any key to perform MOK management, avec un compte à rebours d’une dizaine de secondes. Appuyez sur une touche avant la fin, sinon la machine démarre comme d’habitude et il faudra relancer la commande mokutil.
- Choisissez Enroll MOK. Pour vérifier la clé avant, choisissez View key 0 : elle doit porter le nom Cyclop OS Secure Boot Signing 2026, Cyclop Technologies OU.
- Choisissez Continue, puis Yes pour inscrire la clé.
- Tapez le mot de passe choisi une minute plus tôt.
- Choisissez Reboot.
Le menu MOK management. Descendez avec les flèches jusqu’à Enroll MOK, puis Entrée. Capture faite en machine virtuelle ; les couleurs et la mise en page varient un peu d’un ordinateur à l’autre.
Vérifier que ça a marché
Après le redémarrage, le noyau doit être celui de Cyclop, et avec le Secure Boot actif il tourne en mode « lockdown integrity ».
uname -r
cat /sys/kernel/security/lockdown
mokutil --list-enrolled | grep -i cyclop
Le fichier lockdown affiche none, integrity ou confidentiality, le mode actif entre crochets. Avec le Secure Boot actif et la clé Cyclop inscrite, attendez-vous à [integrity].
Si quelque chose se passe mal
L’écran n’est pas apparu et la machine a démarré comme avant : la demande n’a pas été retenue. Relancez la commande mokutil et redémarrez.
La machine dit que le noyau n’est pas signé ou refuse de le démarrer : démarrez le noyau Ubuntu depuis le menu de démarrage (il reste installé à côté du noyau Cyclop), puis inscrivez la clé à nouveau.
Vous avez tapé un mauvais mot de passe : rien n’est inscrit. Relancez mokutil --import.
Toujours bloqué : coupez le Secure Boot dans les réglages du micrologiciel, démarrez le noyau Cyclop, et demandez sur le forum avec le message exact affiché.
Nous avons suivi ce chemin sur notre propre machine et dans des machines virtuelles. Nous ne l’avons pas encore testé sur un large éventail d’ordinateurs : dites-nous si le vôtre se comporte autrement.