Πριν από λίγες ημέρες, έγινε γνωστό ότι στο τέλος αυτού του μήνα (Ιούνιος 2026), το πιστοποιητικό της Microsoft που χρησιμοποιείται για την ψηφιακή υπογραφή του επιπέδου shim του Linux θα φτάσει στην ημερομηνία λήξης του. Δεδομένου ότι αυτό είναι το βασικό στοιχείο που επιτρέπει στις σύγχρονες διανομές Linux (όπως το Fedora, το Ubuntu και το openSUSE) να εκκινούν σε συστήματα με ενεργοποιημένη την ασφαλή εκκίνηση UEFI, είναι κατανοητό ότι η είδηση έχει προκαλέσει κάποιες ανησυχίες. Ωστόσο, οι προγραμματιστές του Fedora ήταν πολύ σαφείς επί του θέματος: δεν υπάρχει λόγος πανικού. ο υπολογιστής σας θα συνεχίσει να εκκινείται κανονικά.
Για να κατανοήσουμε γιατί δεν θα υπάρξει μαζική διακοπή λειτουργίας του Linux, είναι απαραίτητο να κατανοήσουμε πώς λειτουργεί η αλυσίδα εμπιστοσύνης. Κατά τη διάρκεια της διαδικασίας εκκίνησης, το σύστημα UEFI δεν ελέγχει εάν το πιστοποιητικό έχει λήξει, καθώς η μόνη του ανησυχία είναι να επαληθεύσει ότι η κρυπτογραφική υπογραφή είναι έγκυρη και ότι το κλειδί δεν έχει ανακληθεί ρητά λόγω παραβίασης. Η λήξη του πιστοποιητικού του 2011 σημαίνει απλώς ότι η Microsoft δεν θα μπορεί πλέον να το χρησιμοποιήσει για να υπογράψει νέες εκδόσεις του bootloader.
Η μετάβαση στο νέο κλειδί του 2023
Για να διατηρηθεί η συμβατότητα και να διασφαλιστεί ότι τα συστήματα Linux μπορούν να εγκατασταθούν σε σύγχρονο υλικό, η Microsoft δημιούργησε ένα νέο πιστοποιητικό το 2023. Η μετάβαση σε αυτό το νέο κλειδί έχει σχεδιαστεί ώστε να είναι εντελώς αόρατη στον χρήστη.
Προς το παρόν, αποθετήρια όπως το Fedora Rawhide (η βάση για το επερχόμενο Fedora 45) περιλαμβάνουν ήδη έναν διαχειριστή εκκίνησης με διπλή υπογραφή . Αυτό σημαίνει ότι είναι πιστοποιημένος και από τα κλειδιά 2011 και 2023, εξασφαλίζοντας συμβατότητα τόσο με παλαιότερους υπολογιστές που δεν γνωρίζουν το νέο κλειδί όσο και με σύγχρονες μητρικές που το έχουν ήδη προεγκατεστημένο. Τελικά, οι μελλοντικές εκδόσεις του shim θα υπογράφονται αποκλειστικά με το κλειδί 2023.
Πραγματικά τρωτά σημεία: Ο κίνδυνος έγκειται στον παλιό κώδικα
Αυτό που μπορεί στην πραγματικότητα να αποτρέψει την εκκίνηση ενός συστήματος δεν είναι η λήξη, αλλά η ανάκληση μέσω της Λίστας Ανάκλησης Πιστοποιητικών UEFI (γνωστής ως DBX). Πρόσφατα δημοσιεύθηκαν αναφορές ασφαλείας που περιγράφουν λεπτομερώς δύο κρίσιμα τρωτά σημεία (CVE-2026-8863 και CVE-2026-10797) που επιτρέπουν σε έναν εισβολέα να εκτελέσει κακόβουλο κώδικα παρακάμπτοντας την προστασία Secure Boot.
Ευτυχώς, αυτά τα τρωτά σημεία επηρεάζουν μόνο εξαιρετικά παλιές εκδόσεις του shim (έκδοση 0.9 και παλαιότερες, που δημιουργήθηκαν πριν από το 2016). Οι υπογραφές αυτών των ευάλωτων επιπέδων έχουν προστεθεί στη βάση δεδομένων απαγορευμένων υπογραφών (DBX). Εάν έχετε ένα πολύ ξεπερασμένο σύστημα (όπως CentOS 7.2 ή RHEL 7.2) και η βάση δεδομένων UEFI σας είναι ενημερωμένη, η εκκίνηση του υπολογιστή σας δεν θα είναι δυνατή για λόγους ασφαλείας.
Τι πρέπει να κάνετε (και τι ΔΕΝ πρέπει να κάνετε);
Παρόλο που η λήξη δεν θα προκαλέσει βλάβη στο τρέχον σύστημά σας, οι προγραμματιστές συνιστούν ανεπιφύλακτα την ενημέρωση της βάσης δεδομένων κλειδιών του υλικολογισμικού σας για να λάβετε το νέο κλειδί του 2023 και να είστε έτοιμοι για το μέλλον. Ακολουθούν οι εντολές για να ελέγξετε την κατάσταση της συσκευής σας:
Ελέγξτε αν χρησιμοποιείτε UEFI ή BIOS (παλαιού τύπου):
[[ -d /sys/firmware/efi ]] || echo BIOS
Ελέγξτε αν είναι ενεργοποιημένη η Ασφαλής εκκίνηση:
mokutil --sb-state
Παραθέστε τα δημόσια κλειδιά στο υλικολογισμικό:
mokutil --db --short (Εδώ θα πρέπει να δείτε το κλειδί 2011 και, αν το έχετε ενημερωμένο, το κλειδί 2023).
Ενημερώστε αυτόματα το υλικολογισμικό και τα κλειδιά σας:
sudo fwupdmgr update (Λήψη ενημερώσεων από την Υπηρεσία Υλικολογισμικού Προμηθευτή Linux).
Επαληθεύστε με ποιο κλειδί είναι υπογεγραμμένο το στεφάνι σας (απαιτείται το πακέτο pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Τέλος, αξίζει να αναφερθεί ότι οι προγραμματιστές του Fedora έχουν εκδώσει μια προειδοποίηση:
Αν ενδιαφέρεστε να μάθετε περισσότερα, μπορείτε να βρείτε τις λεπτομέρειες στον παρακάτω σύνδεσμο.