Mõni päev tagasi levis uudis, et selle kuu lõpus (juunis 2026) aegub Linuxi shim-kihi digitaalseks allkirjastamiseks kasutatav Microsofti sertifikaat. Kuna see on oluline komponent, mis võimaldab tänapäevastel Linuxi distributsioonidel (nagu Fedora, Ubuntu ja openSUSE) käivituda süsteemides, kus on lubatud UEFI Secure Boot, on mõistetav, et uudis on tekitanud teatavat muret. Fedora arendajad on aga selles küsimuses väga selgelt öelnud: paanikaks pole põhjust; teie arvuti käivitub tavapäraselt.
Selleks, et mõista, miks Linuxi ulatuslikku sulgemist ei toimu, on vaja mõista usaldusahela toimimist. Käivitusprotsessi ajal ei kontrolli UEFI-süsteem, kas sertifikaat on aegunud, kuna selle ainus ülesanne on veenduda, et krüptograafiline allkiri on kehtiv ja et võtit pole ohustamise tõttu selgesõnaliselt tühistatud. 2011. aasta sertifikaadi aegumine tähendab lihtsalt seda, et Microsoft ei saa seda enam alglaaduri uute versioonide allkirjastamiseks kasutada.
Üleminek uuele 2023. aasta võtmele
Ühilduvuse säilitamiseks ja Linuxi süsteemide installimise tagamiseks tänapäevasele riistvarale genereeris Microsoft 2023. aastal uue sertifikaadi . Üleminek sellele uuele võtmele on kasutajale täiesti nähtamatu.
Praegu sisaldavad sellised repositooriumid nagu Fedora Rawhide (mis on aluseks tulevasele Fedora 45-le) juba kaheallkirjastatud shim-boot managerit . See tähendab, et see on sertifitseeritud nii 2011. kui ka 2023. aasta võtmetega, tagades ühilduvuse nii vanemate arvutitega, mis uut võtit ei tunne, kui ka moodsate emaplaatidega, millel see on juba eelinstallitud. Lõpuks allkirjastatakse shim-i tulevased versioonid ainult 2023. aasta võtmega.
Tegelikud haavatavused: oht peitub vanas koodis
Süsteemi käivitamist ei saa tegelikult takistada mitte aegumine, vaid tühistamine UEFI sertifikaatide tühistamisloendi (tuntud kui DBX) kaudu. Hiljuti avaldatud turvaaruanded kirjeldavad kahte kriitilist haavatavust (CVE-2026-8863 ja CVE-2026-10797), mis võimaldavad ründajal käivitada pahatahtlikku koodi, möödudes turvalise käivituse kaitsest.
Õnneks mõjutavad need haavatavused ainult shim'i äärmiselt vanu versioone (versioon 0.9 ja varasemad, loodud enne 2016. aastat). Nende haavatavate kihtide allkirjad on lisatud keelatud allkirjade andmebaasi (DBX). Kui teil on väga aegunud süsteem (näiteks CentOS 7.2 või RHEL 7.2) ja teie UEFI andmebaas on uuendatud, siis teie arvuti turvakaalutlustel ei käivitu.
Mida peaksite tegema (ja mida te EI tohiks teha)?
Kuigi aegumine ei riku teie praegust süsteemi, soovitavad arendajad tungivalt värskendada püsivara võtmeandmebaasi , et saada vastu uus 2023. aasta võti ja olla tulevikukindel. Siin on käsud seadme oleku kontrollimiseks:
Kontrollige, kas kasutate UEFI-d või BIOS-i (pärand):
[[ -d /sys/firmware/efi ]] || echo BIOS
Kontrollige, kas turvaline alglaadimine on lubatud:
mokutil --sb-state
Loetlege püsivara avalikud võtmed:
mokutil --db --short (Siin peaksite nägema 2011. aasta võtit ja kui olete kursis, siis 2023. aasta võtit).
Värskenda oma püsivara ja võtmeid automaatselt:
sudo fwupdmgr update (Laadige värskendused alla Linuxi tarnija püsivara teenusest).
Kontrolli, millise võtmega sinu shim on allkirjastatud (nõuab pesign paketti):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Lõpuks väärib mainimist, et Fedora arendajad on andnud hoiatuse:
Kui olete huvitatud lisateabe saamisest, leiate üksikasjad järgmiselt lingilt.