Acabei de terminar de configurar o secure boot em uma instalação do Arch. Ao contrário de outras distros, isso não está funcionando imediatamente. No entanto, o processo para criar suas próprias chaves e configurar a assinatura de cada atualização do kernel com elas automagicamente com a ajuda do sbctl e um hook pacman é relativamente simples.
No entanto, tenho um problema com essa abordagem: se eu tiver que manter minhas chaves na minha máquina e puder usá-las para assinar qualquer coisa com credenciais disponíveis para uma ferramenta que eu possa invocar no espaço do usuário... Como isso protege meu sistema?
Eu acharia muito mais conveniente e seguro se essas coisas já estivessem assinadas pelos mantenedores do Arch. Eu poderia então simplesmente adicionar a chave deles ao meu banco de dados de inicialização segura permitindo-a nas configurações do BIOS (ou banco de dados de shim assinado pela Microsoft como outras distros fazem, não me importo), uma vez. Mas não encontro nenhuma maneira de fazer isso. Por que todos os métodos de configuração que vejo online são tão complicados, quando essa solução parece tão óbvia e direta? Existe uma razão técnica, ideológica ou processual que eu esteja esquecendo?
