Ubuntu cambia kernel con la cifratura TPM: driver e moduli possono smettere di funzionare

Attivare la cifratura dell’unità con TPM durante l’installazione di Ubuntu non modifica soltanto il modo in cui il sistema protegge la chiave crittografica. La scelta può cambiare anche una componente molto più profonda: il kernel Linux e l’intera catena di avvio smettono di seguire il tradizionale modello basato sui pacchetti deb e passano sotto il controllo di Snap.

La conseguenza non riguarda le normali applicazioni installate con il sistema di gestione dei pacchetti apt. Problemi possono venire a galla con driver OEM, moduli DKMS, firmware aggiuntivi e componenti hardware non inclusi nella configurazione predisposta da Canonical. Una webcam, una scheda WiFi o il sottosistema audio possono quindi comportarsi bene con la cifratura LUKS (Linux Unified Key Setup) tradizionale e smettere di funzionare scegliendo l’abilitazione del supporto TPM, pur installando Ubuntu sulla stessa macchina e dalla stessa immagine ISO.

Ubuntu 26.04 LTS ha reso stabilmente disponibile la cifratura TPM/FDE (Full Disk Encryption, ossia cifratura completa del disco) ma il compromesso architetturale, tuttavia, rimane. La maggiore integrità della catena di avvio impone un ambiente più controllato e meno modificabile.

La scelta nell’installer di Ubuntu che cambia più della cifratura

Ubuntu propone due modelli principali per proteggere il disco. La cifratura tradizionale usa LUKS e richiede normalmente una passphrase nelle prime fasi dell’avvio. Il sistema legge la password, ricava la chiave necessaria e apre i volumi cifrati prima di caricare completamente il sistema operativo.

La modalità supportata dall’hardware utilizza invece chip TPM per legare lo sblocco del disco allo stato della macchina. Quando firmware, Secure Boot, bootloader e componenti iniziali dell’avvio corrispondono alla configurazione prevista, il TPM autorizza il recupero del materiale necessario per aprire il volume cifrato. Ubuntu può quindi avviarsi senza chiedere ogni volta la passphrase, oppure può combinare il controllo del TPM con un PIN o una credenziale aggiuntiva.

Canonical ha derivato la sua implementazione TPM/FDE dal modello impiegato in Ubuntu Core, sistema pensato per dispositivi controllati e installazioni con una catena software fortemente verificabile. Per preservare tale catena, Ubuntu Desktop usa un kernel e un bootloader distribuiti come snap.

Il kernel non compare quindi nel sistema come il consueto pacchetto linux-image-* amministrato da dpkg e apt.

Una verifica è effettuabile impartendo il comando snap list | grep pc-kernel mentre dpkg -l | grep linux-image può non restituire alcun kernel installato nel modo tradizionale.

Il caso del Dell Latitude: stessa ISO, webcam diversa

Il problema è emerso chiaramente nel test pubblicato a maggio 2026 su bare.systems. L’autore ha installato Ubuntu 24.04 su un Dell Latitude 7450, scegliendo nell’installer la cifratura in hardware con l’utilizzo del chip TPM presente sul sistema.

Alla fine dell’installazione, quasi tutto l’hardware risultava operativo: grafica integrata, WiFi, audio, lettore di impronte e Thunderbolt. La webcam Intel IPU6, invece, non appariva neppure tra i dispositivi video disponibili.

Ubuntu aveva correttamente riconosciuto il portatile e installato i metapacchetti OEM predisposti per il modello Dell. I moduli IPU6 risultavano registrati con DKMS, ma non costruiti o caricati per il kernel effettivamente in uso.

La procedura normalmente suggerita per quel computer consisteva nell’installare i moduli già compilati presenti nei repository Dell, insieme agli altri componenti necessari alla videocamera. L’operazione falliva, però, a causa di un pacchetto chiamato boot-managed-by-snapd, incompatibile con gli elementi tradizionali della catena di avvio.

Reinstallando la stessa versione di Ubuntu sul medesimo portatile, ma scegliendo LVM cifrato con passphrase invece della modalità TPM, il sistema tornava a usare il kernel HWE distribuito come pacchetto deb. In quella configurazione i componenti OEM potevano essere installati normalmente e la webcam funzionava.

La prova non dimostra che ogni computer con TPM/FDE perda l’utilizzo di qualche periferica. Mostra, però, un aspetto importante: la compatibilità certificata per una macchina Ubuntu non garantisce automaticamente la disponibilità di ogni driver quando si seleziona il kernel snap previsto per l’utilizzo del chip TPM e la cifratura in hardware.

Il problema non riguarda soltanto la webcam IPU6

Le discussioni tecniche susseguitesi in questi mesi mettono in evidenza casi nei quali il kernel pc-kernel non contiene firmware o componenti necessari per WiFi e audio su alcuni portatili Dell recenti. Un utente con un nuovo XPS ha segnalato l’assenza sia della connettività di rete sia dell’audio dopo un’installazione TPM/FDE, rendendo la funzione inutilizzabile su quella macchina.

Le segnalazioni non autorizzano a concludere che tutti i Dell XPS o Latitude siano incompatibili. Firmware e moduli possono arrivare attraverso successive revisioni del kernel snap. Un problema osservato in passato può risultare corretto su una determinata combinazione di modello, BIOS e canale Snap in tempi successivi.

Resta però il limite generale: l’utente dipende dal contenuto che Canonical inserisce e firma nel kernel snap. Con il kernel deb potrebbe aggiungere autonomamente un pacchetto OEM, un firmware o un modulo esterno; nella configurazione TPM/FDE la stessa correzione può richiedere un aggiornamento ufficiale dell’immagine.

Con Ubuntu 26.04 LTS Canonical dichiara TPM/FDE pronta per l’uso generale: la procedura d’installazione effettua controlli preliminari più accurati, la gestione del PIN è integrata e il sistema mostra richieste più chiare della chiave di recupero durante operazioni sensibili, come gli aggiornamenti del firmware.

Disponibilità generale non significa, però, compatibilità con ogni periferica, kernel o modulo. Le stesse note di Ubuntu 26.04 rimandano a una sezione dedicata alle limitazioni residue.

Conclusioni

La cifratura TPM/FDE di Ubuntu non rappresenta una semplice variante più comoda di LUKS. Introduce un modello di sicurezza differente, nel quale lo sblocco dell’unità dipende dall’integrità della catena di avvio e da componenti distribuiti e controllati da Canonical. Il kernel snap svolge quindi una funzione precisa: riduce la variabilità dell’ambiente iniziale, facilita aggiornamenti atomici e rende più prevedibili le misure usate dal TPM.

Il rovescio della medaglia è una minore flessibilità. Driver OEM, firmware aggiuntivi, moduli DKMS e kernel alternativi non possono essere gestiti con la stessa libertà disponibile in un’installazione tradizionale basata su pacchetti deb. Quando manca un componente, l’utente può dipendere da un aggiornamento ufficiale del pacchetto pc-kernel, anche nei casi in cui con LUKS sarebbe sufficiente installare manualmente un modulo o un pacchetto fornito dal produttore.

TPM/FDE non va quindi considerata una soluzione da evitare, ma una scelta da compiere conoscendone le conseguenze. Può risultare particolarmente adatta in ambito aziendale, sui sistemi certificati e sulle macchine che devono riavviarsi senza richiedere ogni volta una passphrase.

Chi utilizza hardware recente, periferiche particolari, driver proprietari o moduli esterni dovrebbe invece verificare con attenzione la compatibilità della specifica configurazione e conservare sempre la chiave di recupero in un luogo separato.

Il principale limite resta l’informazione offerta durante l’installazione: l’opzione relativa alla cifratura supportata dal TPM lascia intendere che cambi soltanto il metodo di protezione dell’unità, mentre in realtà – all’atto pratico – può modificare in modo sostanziale la gestione del kernel e dei driver. Una spiegazione più esplicita nell’installer, che Canonical dovrebbe aggiungere, permetterebbe agli utenti di scegliere consapevolmente tra la maggiore rigidità della catena verificata e la flessibilità garantita dalla cifratura LUKS tradizionale.