লিনাক্সের জন্য মাইক্রোসফট সিকিওর বুট সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে কী করবেন

কিছুদিন আগে খবর আসে যে এই মাসের শেষে (জুন ২০২৬), লিনাক্স শিম লেয়ারকে ডিজিটালভাবে স্বাক্ষর করতে ব্যবহৃত মাইক্রোসফট সার্টিফিকেটের মেয়াদ শেষ হয়ে যাবে। যেহেতু এটি একটি অপরিহার্য উপাদান যা ফেডোরা, উবুন্টু এবং ওপেনসুসে-এর মতো আধুনিক লিনাক্স ডিস্ট্রিবিউশনগুলোকে ইউইএফআই সিকিওর বুট সক্রিয় থাকা সিস্টেমে বুট করতে সাহায্য করে, তাই এই খবরটি যে কিছু উদ্বেগ সৃষ্টি করেছে তা বোধগম্য। তবে, ফেডোরার ডেভেলপাররা এই বিষয়ে খুব স্পষ্ট করে দিয়েছেন: আতঙ্কিত হওয়ার কোনো কারণ নেই; আপনার কম্পিউটার স্বাভাবিকভাবেই বুট হতে থাকবে।

কেন লিনাক্স ব্যাপকভাবে বন্ধ করা হবে না, তা বুঝতে হলে ট্রাস্ট চেইন কীভাবে কাজ করে তা বোঝা প্রয়োজন। বুট প্রক্রিয়ার সময়, UEFI সিস্টেম সার্টিফিকেটটির মেয়াদ শেষ হয়েছে কিনা তা পরীক্ষা করে না, কারণ এর একমাত্র কাজ হলো ক্রিপ্টোগ্রাফিক সিগনেচারটি বৈধ কিনা এবং কোনো আপোসের কারণে কী-টি স্পষ্টভাবে বাতিল করা হয়নি কিনা তা যাচাই করা। ২০১১ সালের সার্টিফিকেটটির মেয়াদ শেষ হওয়ার সহজ অর্থ হলো, মাইক্রোসফট আর বুটলোডারের নতুন সংস্করণগুলোতে স্বাক্ষর করার জন্য এটি ব্যবহার করতে পারবে না।

২০২৩ সালের নতুন চাবিতে রূপান্তর

সামঞ্জস্যতা বজায় রাখতে এবং আধুনিক হার্ডওয়্যারে লিনাক্স সিস্টেম ইনস্টল করা নিশ্চিত করতে, মাইক্রোসফট ২০২৩ সালে একটি নতুন সার্টিফিকেট তৈরি করেছে। এই নতুন কী-তে রূপান্তর প্রক্রিয়াটি ব্যবহারকারীর কাছে সম্পূর্ণ অদৃশ্য রাখার জন্য ডিজাইন করা হয়েছে।

বর্তমানে, ফেডোরা র'হাইড (আসন্ন ফেডোরা ৪৫-এর ভিত্তি) -এর মতো রিপোজিটরিগুলোতে ইতিমধ্যেই একটি ডুয়াল-সাইনড শিম বুট ম্যানেজার অন্তর্ভুক্ত রয়েছে । এর মানে হলো, এটি ২০১১ এবং ২০২৩ উভয় কী দ্বারাই সার্টিফাইড, যা নতুন কী সম্পর্কে অজ্ঞ পুরোনো কম্পিউটার এবং এটি আগে থেকে ইনস্টল করা আধুনিক মাদারবোর্ড—উভয়ের সাথেই সামঞ্জস্যতা নিশ্চিত করে। অবশেষে, শিমের ভবিষ্যৎ সংস্করণগুলো শুধুমাত্র ২০২৩ কী দ্বারা সাইন করা হবে।

প্রকৃত দুর্বলতা: বিপদটি পুরোনো কোডের মধ্যেই নিহিত।

প্রকৃতপক্ষে, মেয়াদোত্তীর্ণ হওয়া নয়, বরং UEFI সার্টিফিকেট রিভোকেশন লিস্ট (যা DBX নামে পরিচিত) এর মাধ্যমে বাতিলকরণই একটি সিস্টেমকে বুট হতে বাধা দিতে পারে। সম্প্রতি প্রকাশিত নিরাপত্তা প্রতিবেদনে দুটি গুরুতর দুর্বলতার (CVE-2026-8863 এবং CVE-2026-10797) বিস্তারিত বিবরণ দেওয়া হয়েছে, যা একজন আক্রমণকারীকে সিকিওর বুট সুরক্ষা বাইপাস করে ক্ষতিকারক কোড কার্যকর করার সুযোগ দেয়।

সৌভাগ্যবশত, এই দুর্বলতাগুলো শুধুমাত্র শিম-এর অত্যন্ত পুরোনো সংস্করণগুলোকে (২০১৬ সালের আগে তৈরি সংস্করণ ০.৯ এবং তার আগের সংস্করণ) প্রভাবিত করে। এই দুর্বল লেয়ারগুলোর সিগনেচার নিষিদ্ধ সিগনেচারের ডেটাবেসে (DBX) যুক্ত করা হয়েছে। যদি আপনার একটি খুব পুরোনো সিস্টেম (যেমন CentOS 7.2 বা RHEL 7.2) থাকে এবং আপনার UEFI ডেটাবেস আপডেট করা হয়, তাহলে নিরাপত্তাজনিত কারণে আপনার কম্পিউটার বুট হতে ব্যর্থ হবে।

আপনার কী করা উচিত (এবং কী করা উচিত নয়)?

যদিও মেয়াদ শেষ হয়ে যাওয়ায় আপনার বর্তমান সিস্টেমের কোনো ক্ষতি হবে না, তবুও ডেভেলপাররা নতুন ২০২৩ সালের কী গ্রহণ করতে এবং ভবিষ্যতের জন্য প্রস্তুত থাকতে আপনার ফার্মওয়্যারের কী ডেটাবেস আপডেট করার জন্য জোরালোভাবে সুপারিশ করছেন। আপনার ডিভাইসের অবস্থা পরীক্ষা করার জন্য কমান্ডগুলো নিচে দেওয়া হলো:

আপনি UEFI নাকি BIOS (Legacy) ব্যবহার করছেন তা যাচাই করুন:

[[ -d /sys/firmware/efi ]] || echo BIOS

সিকিওর বুট চালু আছে কিনা তা পরীক্ষা করুন:

mokutil --sb-state

ফার্মওয়্যারে থাকা পাবলিক কীগুলো তালিকাভুক্ত করুন:

mokutil --db --short (এখানে আপনি ২০১১ সালের কী এবং, যদি আপনার আপডেট করা থাকে, তাহলে ২০২৩ সালের কী দেখতে পাবেন)।

আপনার ফার্মওয়্যার এবং কীগুলি স্বয়ংক্রিয়ভাবে আপডেট করুন:

sudo fwupdmgr update (লিনাক্স ভেন্ডর ফার্মওয়্যার সার্ভিস থেকে আপডেট ডাউনলোড করুন)।

আপনার শিমটি কোন কী দিয়ে স্বাক্ষরিত হয়েছে তা যাচাই করুন (এর জন্য pesign প্যাকেজটি প্রয়োজন):

sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi

অবশেষে, উল্লেখ্য যে ফেডোরা ডেভেলপাররা একটি সতর্কতা জারি করেছেন:

আপনি যদি আরও জানতে আগ্রহী হন, তাহলে নিচের লিঙ্কে বিস্তারিত তথ্য পেতে পারেন ।