Vor einigen Tagen wurde bekannt, dass das Microsoft-Zertifikat, das zur digitalen Signatur der Linux-Shim-Schicht verwendet wird, Ende dieses Monats (Juni 2026) abläuft. Da dies die essentielle Komponente ist, die es modernen Linux-Distributionen (wie Fedora, Ubuntu und openSUSE) ermöglicht, auf Systemen mit aktiviertem UEFI Secure Boot zu starten, ist es verständlich, dass diese Nachricht Besorgnis ausgelöst hat. Die Fedora-Entwickler haben jedoch klargestellt: Es besteht kein Grund zur Panik; Ihr Computer wird weiterhin normal starten.
Um zu verstehen, warum es nicht zu einem massiven Linux-Abschalten kommen wird, muss man die Funktionsweise der Vertrauenskette kennen. Während des Bootvorgangs prüft das UEFI-System nicht, ob das Zertifikat abgelaufen ist, da es lediglich die Gültigkeit der kryptografischen Signatur und die Gültigkeit des Schlüssels (sofern dieser nicht kompromittiert wurde) überprüft. Das Ablaufen des Zertifikats von 2011 bedeutet lediglich, dass Microsoft es nicht mehr zum Signieren neuer Bootloader-Versionen verwenden kann.
Der Übergang zum neuen Schlüssel von 2023
Um die Kompatibilität zu gewährleisten und sicherzustellen, dass Linux-Systeme auf moderner Hardware installiert werden können, hat Microsoft im Jahr 2023 ein neues Zertifikat generiert. Der Übergang zu diesem neuen Schlüssel wurde so konzipiert, dass er für den Benutzer völlig unsichtbar ist.
Aktuell enthalten Repositories wie Fedora Rawhide (die Grundlage für das kommende Fedora 45) bereits einen doppelt signierten Shim-Bootmanager . Das bedeutet, er ist sowohl mit dem Schlüssel von 2011 als auch mit dem von 2023 zertifiziert und gewährleistet so die Kompatibilität mit älteren Computern, die den neuen Schlüssel nicht kennen, sowie mit modernen Mainboards, auf denen er bereits vorinstalliert ist. Zukünftige Versionen des Shims werden ausschließlich mit dem Schlüssel von 2023 signiert sein.
Tatsächliche Schwachstellen: Die Gefahr liegt im alten Code.
Nicht das Ablaufen eines Zertifikats, sondern dessen Widerruf über die UEFI-Zertifikatssperrliste (DBX) kann den Systemstart verhindern . Kürzlich veröffentlichte Sicherheitsberichte beschreiben zwei kritische Schwachstellen (CVE-2026-8863 und CVE-2026-10797), die es Angreifern ermöglichen, durch Umgehung des Secure-Boot-Schutzes Schadcode auszuführen.
Glücklicherweise betreffen diese Sicherheitslücken nur sehr alte Versionen des Shims (Version 0.9 und älter, erstellt vor 2016). Die Signaturen dieser anfälligen Schichten wurden der Datenbank verbotener Signaturen (DBX) hinzugefügt. Wenn Sie ein sehr veraltetes System (z. B. CentOS 7.2 oder RHEL 7.2) verwenden und Ihre UEFI-Datenbank aktualisiert wird, kann Ihr Computer aus Sicherheitsgründen nicht mehr starten.
Was sollten Sie tun (und was sollten Sie NICHT tun)?
Obwohl das Ablaufdatum Ihr aktuelles System nicht beeinträchtigt, empfehlen die Entwickler dringend, die Schlüsseldatenbank Ihrer Firmware zu aktualisieren , um den neuen Schlüssel für 2023 zu erhalten und zukunftssicher aufgestellt zu sein. Hier sind die Befehle, um den Status Ihres Geräts zu überprüfen:
Prüfen Sie, ob Sie UEFI oder BIOS (Legacy) verwenden:
[[ -d /sys/firmware/efi ]] || echo BIOS
Prüfen Sie, ob Secure Boot aktiviert ist:
mokutil --sb-state
Listen Sie die öffentlichen Schlüssel in der Firmware auf:
mokutil --db --short (Hier sollten Sie den Schlüssel von 2011 und, falls Sie auf dem neuesten Stand sind, den Schlüssel von 2023 sehen).
Aktualisieren Sie Ihre Firmware und Schlüssel automatisch:
sudo fwupdmgr update (Aktualisierungen vom Linux Vendor Firmware Service herunterladen).
Überprüfen Sie, mit welchem Schlüssel Ihr Shim signiert ist (erfordert das pesign-Paket):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Abschließend sei noch erwähnt, dass die Fedora-Entwickler eine Warnung herausgegeben haben:
Wenn Sie mehr erfahren möchten, finden Sie die Details unter folgendem Link.