Prije nekoliko dana pojavila se vijest da će krajem ovog mjeseca (juni 2026.) isteći rok važenja Microsoftovog certifikata koji se koristi za digitalno potpisivanje Linux shim sloja. Budući da je ovo ključna komponenta koja omogućava modernim Linux distribucijama (kao što su Fedora, Ubuntu i openSUSE) pokretanje na sistemima s omogućenim UEFI Secure Bootom, razumljivo je da je ova vijest izazvala određenu zabrinutost. Međutim, Fedorini programeri su bili vrlo jasni po tom pitanju: nema razloga za paniku; vaš računar će nastaviti normalno da se pokreće.
Da bismo razumjeli zašto neće doći do masovnog gašenja Linuxa, potrebno je razumjeti kako funkcioniše lanac povjerenja. Tokom procesa pokretanja, UEFI sistem ne provjerava da li je certifikat istekao, jer je njegova jedina briga provjera da li je kriptografski potpis važeći i da li ključ nije eksplicitno opozvan zbog kompromitovanja. Istek certifikata iz 2011. godine jednostavno znači da ga Microsoft više neće moći koristiti za potpisivanje novih verzija bootloadera.
Prelazak na novi ključ iz 2023.
Kako bi održao kompatibilnost i osigurao da se Linux sistemi mogu instalirati na moderni hardver, Microsoft je 2023. godine generirao novi certifikat. Prelazak na ovaj novi ključ dizajniran je tako da bude potpuno nevidljiv za korisnika.
Trenutno, repozitoriji poput Fedora Rawhide (osnova za nadolazeću Fedoru 45) već uključuju dvostruko potpisani shim boot manager . To znači da je certificiran i ključevima 2011 i 2023, što osigurava kompatibilnost i sa starijim računarima koji ne poznaju novi ključ i sa modernim matičnim pločama koje ga već imaju unaprijed instaliran. Na kraju će buduće verzije shima biti potpisane isključivo ključem 2023.
Prave ranjivosti: Opasnost leži u starom kodu
Ono što zapravo može spriječiti pokretanje sistema nije istek, već opoziv putem UEFI liste opozvanih certifikata (poznate kao DBX). Nedavno objavljeni sigurnosni izvještaji detaljno opisuju dvije kritične ranjivosti (CVE-2026-8863 i CVE-2026-10797) koje omogućavaju napadaču da izvrši zlonamjerni kod zaobilazeći zaštitu Secure Boot-a.
Srećom, ove ranjivosti utiču samo na izuzetno stare verzije shima (verzija 0.9 i starije, kreirane prije 2016. godine). Potpisi ovih ranjivih slojeva dodani su u bazu podataka zabranjenih potpisa (DBX). Ako imate vrlo zastarjeli sistem (kao što je CentOS 7.2 ili RHEL 7.2) i vaša UEFI baza podataka je ažurirana, vaš računar se neće pokrenuti iz sigurnosnih razloga.
Šta biste trebali uraditi (a šta NE biste trebali uraditi)?
Iako istek važenja neće uništiti vaš trenutni sistem, programeri toplo preporučuju ažuriranje baze podataka ključeva vašeg firmvera kako biste primili novi ključ iz 2023. i bili spremni za budućnost. Evo naredbi za provjeru statusa vašeg uređaja:
Provjerite da li koristite UEFI ili BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Provjerite je li omogućeno sigurno pokretanje (Secure Boot):
mokutil --sb-state
Navedite javne ključeve u firmveru:
mokutil --db --short (Ovdje biste trebali vidjeti ključ iz 2011. i, ako imate ažuriranu verziju, ključ iz 2023.).
Automatski ažurirajte firmver i ključeve:
sudo fwupdmgr update (Preuzmite ažuriranja sa usluge Linux Vendor Firmware Service).
Provjerite kojim ključem je potpisan vaš shim (potreban je dizajn paket):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Konačno, vrijedi spomenuti da su programeri Fedore izdali upozorenje:
Ako ste zainteresovani da saznate više, detalje možete pronaći na sljedećem linku.