Преди няколко дни се появи новината, че в края на този месец (юни 2026 г.) сертификатът на Microsoft, използван за цифрово подписване на слоя Linux shim, ще достигне срока си на валидност. Тъй като това е основният компонент, който позволява на съвременните Linux дистрибуции (като Fedora, Ubuntu и openSUSE) да се стартират на системи с активиран UEFI Secure Boot, е разбираемо, че новината е породила известни опасения. Разработчиците на Fedora обаче са много ясни по въпроса: няма причина за паника; компютърът ви ще продължи да се стартира нормално.
За да разберем защо няма да има масово спиране на Linux, е необходимо да разберем как работи веригата на доверие. По време на процеса на зареждане, системата UEFI не проверява дали сертификатът е изтекъл, тъй като единствената ѝ грижа е да провери дали криптографският подпис е валиден и дали ключът не е бил изрично отменен поради компрометиране. Изтичането на сертификата от 2011 г. просто означава, че Microsoft вече няма да може да го използва за подписване на нови версии на буутлоудъра.
Преходът към новия ключ от 2023 г.
За да се поддържа съвместимост и да се гарантира, че Linux системите могат да бъдат инсталирани на съвременен хардуер, Microsoft генерира нов сертификат през 2023 г. Преходът към този нов ключ е проектиран да бъде напълно невидим за потребителя.
В момента хранилища като Fedora Rawhide (основата за предстоящата Fedora 45) вече включват мениджър за зареждане с двойно подписан shim . Това означава, че е сертифициран както от ключовете 2011, така и от 2023, което гарантира съвместимост както с по-стари компютри, които не познават новия ключ, така и със съвременни дънни платки, които вече го имат предварително инсталиран. В крайна сметка бъдещите версии на shim ще бъдат подписани изключително с ключа 2023.
Реални уязвимости: Опасността се крие в стария код
Това, което всъщност може да попречи на системата да се стартира, не е изтичането на срока на валидност, а отмяната чрез списъка за отменени сертификати на UEFI (известен като DBX). Наскоро бяха публикувани доклади за сигурност, в които се описват две критични уязвимости (CVE-2026-8863 и CVE-2026-10797), които позволяват на атакуващия да изпълни злонамерен код, като заобиколи защитата Secure Boot.
За щастие, тези уязвимости засягат само изключително стари версии на shim (версия 0.9 и по-стари, създадени преди 2016 г.). Сигнатурите на тези уязвими слоеве са добавени към базата данни със забранени сигнатури (DBX). Ако имате много остаряла система (като CentOS 7.2 или RHEL 7.2) и вашата UEFI база данни е актуализирана, компютърът ви няма да се стартира от съображения за сигурност.
Какво трябва да направите (и какво НЕ трябва да направите)?
Въпреки че изтичането на срока няма да повреди текущата ви система, разработчиците силно препоръчват да актуализирате базата данни с ключове на вашия фърмуер , за да получите новия ключ 2023 и да сте готови за бъдещи промени. Ето командите за проверка на състоянието на вашето устройство:
Проверете дали използвате UEFI или BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Проверете дали е активирано Secure Boot:
mokutil --sb-state
Избройте публичните ключове във фърмуера:
mokutil --db --short (Тук би трябвало да видите ключа от 2011 г. и, ако сте актуални, ключа от 2023 г.).
Актуализирайте фърмуера и ключовете си автоматично:
sudo fwupdmgr update (Изтеглете актуализации от услугата за фърмуер на доставчици на Linux).
Проверете с кой ключ е подписана вашата шайба (изисква пакета pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Накрая, заслужава да се спомене, че разработчиците на Fedora са издали предупреждение:
Ако се интересувате да научите повече, можете да намерите подробностите на следния линк.