Secure boot problème installation nvidia avec mokutil

Support Debian
#1

Bonjour à tous
J’ai suivi scrupuleusement le post de zargos pour installer en secure boot le driver nvidia proprietaire

Quand j’arrive à
moktutil --import /var/lib/shim-signed/mok/MOK.der
Failed to get file status, /var/lib/shim-signed/mok/MOK.der
ls /var/lib/shim-signed/mok/MOK.priv
pas de fichier MOK.der

besoin d’aide

config:

System Details Report

Report details

  • Date generated: 2026-10-17 12:40:30

Hardware Information:

  • Hardware Model: ASUSTeK COMPUTER INC. Z170I PRO GAMING
  • Memory: 16.0 GiB
  • Processor: Intel® Core™ i7-6700K × 8
  • Graphics: NV164
  • Disk Capacity: 512.1 GB

Software Information:

  • Firmware Version: 3805
  • OS Name: Debian GNU/Linux 13 (trixie)
  • OS Build: (null)
  • OS Type: 64-bit
  • GNOME Version: 48
  • Windowing System: Wayland
  • Kernel Version: Linux 6.12.113+deb13-amd64
#2

Bonjour,
Quand tu as créé tes certificats, où les as-tu mis?
IL est probable que les fichier soient dans /var/lib/dkms/
Auquel cas, il te suffit de recopier les certificat et clef de dkms vers shim-signed.

#3

Bonjour zargos
ls /var/lib/shim-signed/
mok
ls /var/lib/shim-signed/mok/
MOK.priv
ls /var/lib/dkms/
MOK.priv
pas de MOK.der
C’est normal ?

root@debian:/home/jeanclaude/Téléchargements# openssl req \
                -x509 \
                -nodes \
                -not_before $(date -d "today" +"%Y%m%d000000Z") \
                -not_after $(date -d "$dt1 + 30 years" +"%Y%m%d000000Z") \
                -new \
                -key /var/lib/dkms/MOK.priv \
                -outform DER \
                -out /var/lib/dkms/MOK.der \
                -subj  "/C=<county code ISO 2 caractères>/ST=<Ma Region>/L=<Ma Ville>/O=<Mon Organisation>/OU=<L'unité d'Organisation>/CN=<Common Name>/" \
                -addext "basicConstraints = critical, CA:TRUE" \
                -addext "keyUsage = critical, digitalSignature, keyCertSign, cRLSign" \
                -addext "extendedKeyUsage = critical, codeSigning" \
                -addext "authorityInfoAccess = OCSP;URI:<http://ocsp.mon.domaine.tld>/,caIssuers;URI:<https://dsa.mondomaine.tld/secure-boot-ca"
4067CDE4157F0000:error:06800097:asn1 encoding routines:ASN1_mbstring_ncopy:string too long:../crypto/asn1/a_mbstr.c:106:maxsize=2
req: Error adding subject name attribute "/C=<county code ISO 2 caractères>"

je pense que l’erreur vient d’ici

#4

Oui, tu n’as pas bien compris, dans les commandes tout ce qui est entre « < » et « > » est à remplacer ("<", « > », inclus) par les valeurs que tu veux mettre.
C (Country): c’est un code pays selon la norme ISO
ST (STate): C’est la région ou état
L (Locality or City): c’est la ville ou localité
O (Organisation): c’est l’organisation
OU Organisation Unit): c’est l’unité d’organisation
CN: c’est le common name, celui là est obligatoire.

Avec mon.domaine ça te donnerais:
C=FR
O=domain
OU=mon
CN=mon.domaine.tld

Ce n’est qu’un exemple.
Si c’est un certificat serveur, les regles impose le champ DNS:host.mon.domaine.com dans les options supplémentaires;

MAis pour le CA ce n’est pas utile.

#5

je crois que le probleme est résolu avec ces lignes j’obtient le MOKE.der

openssl req \
  -x509 \
  -noenc \
  -not_before $(date -u -d "today" +"%Y%m%d000000Z") \
  -not_after  $(date -u -d "+30 years" +"%Y%m%d000000Z") \
  -new \
  -key /var/lib/dkms/MOK.priv \
  -outform DER \
  -out /var/lib/dkms/MOK.der \
  -subj "/C=FR/ST=Ile-de-France/L=Paris/O=MonOrganisation/OU=MonUnite/CN=Ma MOK/" \
  -addext "basicConstraints = critical, CA:TRUE" \
  -addext "keyUsage = critical, digitalSignature, keyCertSign, cRLSign" \
  -addext "extendedKeyUsage = critical, codeSigning"
#6

Ok merci , desolé je n’avais pas compris maintenant cela sa fonctionne .
Suite
clé enroler
reboot
arrêt display manager
je lance la commande d’installation
./NVIDIA-Linux-x86_64-580.105.08.run --tmpdir /root/tmp --module-signing-secret-key=/var/lib/shim-signed/mok/MOK.priv --module-signing-public-key=/var/lib/shim-signed/mok/MOK.der --dkms --install-libglvnd --rebuild-initramfs --disable-nouveau
je choisis l’option MIT/GPL
et j’ai une error:
unable to find the kernel source tree for the currently running kernel. please make sure you have installed the kernel sources files for your kernel etc
j’ai peut être oublié quelque chose
tu as une solution
est ce que je dois installer nvidia-kernel-source

#7

non c’est linux-headers que tu n’as pas installé.
apt install build-essential linux-headers-amd64

#8

Enjoy sa fonctionne
j’ai eu un avertissement
new kernel driver is currently in use
J’ai creer un fichier blacklist
tee /etc/modprobe.d/blacklist-nouveau.conf > /dev/null <<‹ EOF ›
blacklist nouveau
options nouveau modeset=0
EOF
sudo update-initramfs -u
et ajoute rd.driver.blacklist=nouveau dans GRUB_CMDLINE_LINUX

sudo update-grub
et tout rentre dans l’ordre

cerise sur le gateau avec
sudo nano /etc/modprobe.d/nvidia-wayland.conf
options nvidia-drm modeset=1 fbdev=1
options nvidia NVreg_PreserveVideoMemoryAllocations=1
sudo update-initramfs -u
et vous êtes sur wayland
davinci resolve fonctionne parfaitement sur gnome
Merci pour tes conseils
Longue vie à Debian