For et par dage siden kom der nyheder om, at Microsoft-certifikatet, der bruges til digital signering af Linux shim-laget, vil udløbe ved udgangen af denne måned (juni 2026) . Da dette er den essentielle komponent, der gør det muligt for moderne Linux-distributioner (såsom Fedora, Ubuntu og openSUSE) at starte på systemer med UEFI Secure Boot aktiveret, er det forståeligt, at nyheden har givet anledning til bekymring. Fedora-udviklerne har dog været meget klare på sagen: der er ingen grund til panik; din computer vil fortsætte med at starte normalt.
For at forstå, hvorfor der ikke vil være en massiv nedlukning af Linux, er det nødvendigt at forstå, hvordan tillidskæden fungerer. Under opstartsprocessen kontrollerer UEFI-systemet ikke, om certifikatet er udløbet, da dets eneste fokus er at verificere, at den kryptografiske signatur er gyldig , og at nøglen ikke er blevet eksplicit tilbagekaldt på grund af kompromittering. Udløbet af 2011-certifikatet betyder simpelthen, at Microsoft ikke længere vil kunne bruge det til at signere nye versioner af bootloaderen.
Overgangen til den nye nøgle fra 2023
For at opretholde kompatibilitet og sikre, at Linux-systemer kan installeres på moderne hardware, genererede Microsoft et nyt certifikat i 2023. Overgangen til denne nye nøgle er designet til at være fuldstændig usynlig for brugeren.
I øjeblikket inkluderer repositories som Fedora Rawhide (grundlaget for den kommende Fedora 45) allerede en dobbeltsigneret shim boot manager . Det betyder, at den er certificeret af både 2011- og 2023-nøglerne, hvilket sikrer kompatibilitet med både ældre computere, der ikke kender den nye nøgle, og moderne bundkort, der allerede har den forudinstalleret. Til sidst vil fremtidige versioner af shim'en blive signeret udelukkende med 2023-nøglen.
Reelle sårbarheder: Faren ligger i den gamle kode
Det, der rent faktisk kan forhindre et system i at starte, er ikke udløb, men tilbagekaldelse via UEFI-certifikattilbagekaldelseslisten (kendt som DBX). Sikkerhedsrapporter, der for nylig er blevet offentliggjort, beskriver to kritiske sårbarheder (CVE-2026-8863 og CVE-2026-10797), der tillader en angriber at udføre skadelig kode ved at omgå Secure Boot-beskyttelse.
Heldigvis påvirker disse sårbarheder kun ekstremt gamle versioner af shimen (version 0.9 og tidligere, oprettet før 2016). Signaturerne fra disse sårbare lag er blevet føjet til databasen over forbudte signaturer (DBX). Hvis du har et meget forældet system (f.eks. CentOS 7.2 eller RHEL 7.2), og din UEFI-database er opdateret, vil din computer ikke kunne starte af sikkerhedsmæssige årsager.
Hvad skal du gøre (og hvad skal du IKKE gøre)?
Selvom udløbet ikke vil ødelægge dit nuværende system, anbefaler udviklerne kraftigt, at du opdaterer din firmwares nøgledatabase for at modtage den nye 2023-nøgle og være fremtidssikret. Her er kommandoerne til at kontrollere din enheds status:
Tjek om du bruger UEFI eller BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Kontroller om Sikker opstart er aktiveret:
mokutil --sb-state
Angiv de offentlige nøgler i firmwaren:
mokutil --db --short (Her burde du se 2011-nøglen, og hvis du er opdateret, 2023-nøglen).
Opdater din firmware og nøgler automatisk:
sudo fwupdmgr update (Download opdateringer fra Linux Vendor Firmware Service).
Bekræft hvilken nøgle din shim er signeret med (kræver pesign-pakken):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Endelig er det værd at nævne, at Fedora-udviklerne har udsendt en advarsel:
Hvis du er interesseret i at lære mere, kan du finde detaljerne på følgende link.