قبل أيام، انتشر خبر مفاده أن شهادة مايكروسوفت المستخدمة للتوقيع الرقمي على طبقة لينكس shim ستنتهي صلاحيتها بنهاية هذا الشهر (يونيو 2026) . وبما أن هذه الشهادة عنصر أساسي يسمح لتوزيعات لينكس الحديثة (مثل فيدورا، وأوبونتو، وأوبن سوزي) بالإقلاع على الأنظمة التي تدعم ميزة UEFI Secure Boot، فمن الطبيعي أن يثير هذا الخبر بعض المخاوف. مع ذلك، أوضح مطورو فيدورا الأمر جليًا: لا داعي للقلق، سيستمر جهازك في الإقلاع بشكل طبيعي.
لفهم سبب عدم حدوث إغلاق شامل لنظام لينكس، من الضروري فهم آلية عمل سلسلة الثقة. أثناء عملية الإقلاع، لا يتحقق نظام UEFI من انتهاء صلاحية الشهادة، إذ ينصبّ اهتمامه الوحيد على التحقق من صحة التوقيع الرقمي وأن المفتاح لم يُلغَ صراحةً نتيجةً لاختراقه. ببساطة، تعني انتهاء صلاحية شهادة عام 2011 أن مايكروسوفت لن تتمكن من استخدامها لتوقيع الإصدارات الجديدة من برنامج الإقلاع.
الانتقال إلى المفتاح الجديد لعام 2023
للحفاظ على التوافق وضمان إمكانية تثبيت أنظمة لينكس على الأجهزة الحديثة، قامت مايكروسوفت بإنشاء شهادة جديدة في عام 2023. وقد تم تصميم الانتقال إلى هذا المفتاح الجديد بحيث يكون غير مرئي تمامًا للمستخدم.
تتضمن مستودعات مثل Fedora Rawhide (التي تُعدّ أساس Fedora 45 القادمة) حاليًا مدير إقلاع shim موقّعًا بتوقيع مزدوج . هذا يعني أنه معتمد بمفتاحي 2011 و2023، مما يضمن التوافق مع أجهزة الكمبيوتر القديمة التي لا تدعم المفتاح الجديد، واللوحات الأم الحديثة التي تم تثبيته عليها مسبقًا. في المستقبل، سيتم توقيع الإصدارات اللاحقة من shim حصريًا بمفتاح 2023.
نقاط الضعف الحقيقية: يكمن الخطر في الكود القديم
إن ما يمنع النظام من الإقلاع فعلياً ليس انتهاء الصلاحية، بل الإلغاء عبر قائمة إلغاء شهادات UEFI (المعروفة باسم DBX). وقد نُشرت مؤخراً تقارير أمنية تُفصّل ثغرتين أمنيتين خطيرتين (CVE-2026-8863 وCVE-2026-10797) تسمحان للمهاجم بتنفيذ برمجيات خبيثة بتجاوز حماية الإقلاع الآمن.
لحسن الحظ، لا تؤثر هذه الثغرات الأمنية إلا على الإصدارات القديمة جدًا من طبقة الحماية (الإصدار 0.9 وما قبله، الذي تم إنشاؤه قبل عام 2016). وقد أُضيفت توقيعات هذه الطبقات المعرضة للخطر إلى قاعدة بيانات التوقيعات المحظورة (DBX). إذا كان لديك نظام قديم جدًا (مثل CentOS 7.2 أو RHEL 7.2) وتم تحديث قاعدة بيانات UEFI الخاصة بك، فلن يتمكن جهاز الكمبيوتر الخاص بك من الإقلاع لأسباب أمنية.
ما الذي يجب عليك فعله (وما الذي يجب ألا تفعله)؟
على الرغم من أن انتهاء صلاحية المفتاح لن يؤثر على نظامك الحالي، إلا أن المطورين يوصون بشدة بتحديث قاعدة بيانات مفاتيح البرامج الثابتة لديك لاستقبال مفتاح 2023 الجديد وضمان التوافق مع الأنظمة المستقبلية. إليك الأوامر للتحقق من حالة جهازك:
تحقق مما إذا كنت تستخدم UEFI أو BIOS (القديم):
[[ -d /sys/firmware/efi ]] || echo BIOS
تحقق مما إذا كان التمهيد الآمن مُفعّلاً:
mokutil --sb-state
اذكر المفاتيح العامة في البرامج الثابتة:
mokutil --db --short (هنا يجب أن ترى مفتاح 2011، وإذا كنت تستخدم أحدث إصدار، فسترى مفتاح 2023).
قم بتحديث البرامج الثابتة والمفاتيح تلقائيًا:
sudo fwupdmgr update (قم بتنزيل التحديثات من خدمة البرامج الثابتة لموردي لينكس).
تحقق من المفتاح الذي تم توقيع برنامجك الوسيط به (يتطلب حزمة pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
وأخيراً، تجدر الإشارة إلى أن مطوري فيدورا قد أصدروا تحذيراً:
إذا كنت مهتمًا بمعرفة المزيد، يمكنك العثور على التفاصيل على الرابط التالي.