Surface Pro 3 关闭安全引导后开机画面变成血红的红底还是引起了生理不适，所以决定还是要更新到签名过的内核上，但不考虑自行签名的方式。

操作主要参考此链接：https://askubuntu.com/questions/1434143/how-to-install-latest-ubuntu-signed-kernel-on-lts。

略作修订的版本如下：

一开始屏蔽了 extra 和 iwlwifi 两个包，发现显示器分辨率会上不去，可见没有它们会有问题。后来单独安装 extra 成功，显示正常，iwlwifi 安装失败，结果是无法连接无线网络。最后一段的代码，因为没有遇到其引用的错误信息，因此没有放开。

iwlwifi 安装失败的原因是内核模块编译失败。编译时的系统上，有三个内核版本，一个是用上面的脚本安装的存在网络功能缺陷的 5.19（有签名），一个是试图用 5.19 取代的无签名的 5.15，还有就是没有手动干预之前系统自动可以升级到的 5.4（有签名，但是 Snap 不能工作）。用 5.15 引导起来的系统下尝试安装 5.19 版本的 iwlwifi 的 deb 安装包，似乎也没有即刻就成功。既然如此，那就还是回到 5.19 版本的内核下去排错好了。在重启之前，尝试移除 5.15 版本的内核（没有太大使用价值了），此过程中 dpkg 工具给出了警告，因为此版本的内核正在使用中，可能导致系统出现必须手动修复的问题，于是在最后关头选择了中止。重启到 5.19 版本的内核下之后，发现网络功能竟然好了，原因未知。这下正好，没有任何后顾之忧地把 5.15 版本的内核卸载掉了。

以上的处理结束后又动了动脑，进行了一些验证，才发现其实可以使用 apt 命令来安装内核（应该都是签名过的版本），只是检索起来不那么方便。可以使用如下命令行查看内核（headers 和 modules 应该也可照章办理）：