> Ещё раз... Чтобы влинковать initramfs в ядро тебе нужно перелинковывать ядро, потому
> что initramfs это просто ещё один блоб, который в него пихается

Ты чего-то не понял в этой жизни: initrd можно пристыковать за кернелом в тот же файл. И в принципе - если в конфиге ядра разрешено искать initrd за кернелом - он подхватится.

Но это имеет смысл только от глупых бутлоадеров, которые умет initrd но не умебт

> на стадии линковки: https://elixir.bootlin.com/linux/latest/source/usr/initramfs....

Теперь изучи ВСЕ опции цеплять initrd, чудик. Правда, вон том фокус никак не адресует проверку подписей, и если так решено - все равно подписывать каким-то известным ключем - придется. И большой вопрос скушает ли предыдущая фаза секурбута кернел к которому пристыкован initrd, как валидную подпись. Бинарник то чисто технически уже другой.

> Для этого тебе нужно тащить сборочную инфраструктуру и попрощаться с подписью модулей.

Или не нужно. А подписи можно и свои навесить, вместо того чтобы доверять кому-то постороннему.

>> и для загрузчика это один подписаный файл, кстати какие ты там
>> "тащить непожатые объектники в пакете" придумал - во первых пакетики это
>> и есть пожатые архивы так и ядро собирают дистрибьютеры, куда что и зачем тащить ?

Есть еще опция подшить к кернелу initrd, закопировав его за кернелом. Но я честно говоря не проверял как это с секурбутами будет взаимодействовать, есть шансы что подпись отъедет. Можно так же и DTB прицеплять, там где это актуально.