Před pár dny se objevila zpráva, že na konci tohoto měsíce (červen 2026) vyprší platnost certifikátu Microsoftu používaného k digitálnímu podepsání vrstvy Linux shim. Vzhledem k tomu, že se jedná o základní komponentu, která umožňuje moderním linuxovým distribucím (jako je Fedora, Ubuntu a openSUSE) spouštět systém na systémech s povoleným UEFI Secure Boot, je pochopitelné, že tato zpráva vyvolala určité obavy. Vývojáři Fedory se však v této věci vyjádřili jasně: není důvod k panice; váš počítač se bude i nadále normálně spouštět.
Abychom pochopili, proč nedojde k masivnímu vypnutí Linuxu, je nutné pochopit, jak funguje řetězec důvěry. Během procesu spouštění systém UEFI nekontroluje, zda certifikát vypršel, protože jeho jediným úkolem je ověřit, zda je kryptografický podpis platný a zda klíč nebyl explicitně odvolán z důvodu kompromitace. Vypršení platnosti certifikátu z roku 2011 jednoduše znamená, že Microsoft jej již nebude moci použít k podepisování nových verzí bootloaderu.
Přechod na novou klíčovou podobu z roku 2023
Aby byla zachována kompatibilita a zajištěna možnost instalace linuxových systémů na moderní hardware, společnost Microsoft v roce 2023 vygenerovala nový certifikát. Přechod na tento nový klíč byl navržen tak, aby byl pro uživatele zcela neviditelný.
V současné době repozitáře jako Fedora Rawhide (základ pro nadcházející Fedoru 45) již obsahují správce spouštění shim s dvojitým podpisem . To znamená, že je certifikován klíči 2011 i 2023, což zajišťuje kompatibilitu jak se staršími počítači, které nový klíč neznají, tak s moderními základními deskami, které jej již mají předinstalovaný. Budoucí verze shim budou nakonec podepsány výhradně klíčem 2023.
Skutečné zranitelnosti: Nebezpečí spočívá ve starém kódu
Ve skutečnosti však spuštění systému nemůže zabránit vypršení platnosti, ale zrušení prostřednictvím seznamu zneplatněných certifikátů UEFI (známého jako DBX). Nedávno byly zveřejněny bezpečnostní zprávy s podrobnostmi o dvou kritických zranitelnostech (CVE-2026-8863 a CVE-2026-10797), které útočníkovi umožňují spustit škodlivý kód obejitím ochrany Secure Boot.
Naštěstí se tyto zranitelnosti týkají pouze extrémně starých verzí shimu (verze 0.9 a starší, vytvořené před rokem 2016). Podpisy těchto zranitelných vrstev byly přidány do databáze zakázaných podpisů (DBX). Pokud máte velmi zastaralý systém (například CentOS 7.2 nebo RHEL 7.2) a vaše databáze UEFI je aktualizovaná, váš počítač se z bezpečnostních důvodů nespustí.
Co byste měli dělat (a co byste neměli dělat)?
Přestože vypršení platnosti nezpůsobí poškození vašeho stávajícího systému, vývojáři důrazně doporučují aktualizovat databázi klíčů firmwaru , abyste získali nový klíč 2023 a byli připraveni na budoucí použití. Zde jsou příkazy pro kontrolu stavu vašeho zařízení:
Zkontrolujte, zda používáte UEFI nebo BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Zkontrolujte, zda je povoleno zabezpečené spouštění:
mokutil --sb-state
Vypište veřejné klíče ve firmwaru:
mokutil --db --short (Zde byste měli vidět klíč z roku 2011 a pokud máte aktuální verzi, tak i klíč z roku 2023).
Automaticky aktualizujte firmware a klíče:
sudo fwupdmgr update (Stáhněte si aktualizace ze služby firmwaru dodavatelů systému Linux).
Ověřte, kterým klíčem je váš shim podepsaný (vyžaduje balíček pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Nakonec stojí za zmínku, že vývojáři Fedory vydali varování:
Pokud máte zájem dozvědět se více, podrobnosti naleznete na následujícím odkazu.