Muutama päivä sitten uutisoitiin, että tämän kuun lopussa (kesäkuussa 2026) Linuxin shim-kerroksen digitaaliseen allekirjoittamiseen käytettävä Microsoftin varmenne vanhenee. Koska tämä on olennainen komponentti, joka mahdollistaa nykyaikaisten Linux-jakelujen (kuten Fedoran, Ubuntun ja openSUSEn) käynnistymisen järjestelmissä, joissa on käytössä UEFI Secure Boot, on ymmärrettävää, että uutinen on herättänyt jonkin verran huolta. Fedoran kehittäjät ovat kuitenkin olleet asiasta hyvin selkeitä: ei ole syytä paniikkiin; tietokoneesi käynnistyy normaalisti.
Ymmärtääkseen, miksi Linuxia ei suljeta laajasti, on tärkeää ymmärtää, miten luottamusketju toimii. Käynnistysprosessin aikana UEFI-järjestelmä ei tarkista, onko varmenne vanhentunut, vaan sen ainoa tehtävä on varmistaa, että kryptografinen allekirjoitus on voimassa ja että avainta ei ole erikseen peruutettu vaarantumisen vuoksi. Vuoden 2011 varmenteen vanheneminen tarkoittaa yksinkertaisesti sitä, että Microsoft ei voi enää käyttää sitä käynnistyslataimen uusien versioiden allekirjoittamiseen.
Siirtyminen uuteen vuoden 2023 avaimeen
Yhteensopivuuden ylläpitämiseksi ja sen varmistamiseksi, että Linux-järjestelmät voidaan asentaa nykyaikaisille laitteistoille, Microsoft loi uuden varmenteen vuonna 2023. Siirtyminen tähän uuteen avaimeen on suunniteltu käyttäjälle täysin näkymätöntä.
Tällä hetkellä Fedora Rawhiden (tulevan Fedora 45:n perusta) kaltaiset arkistot sisältävät jo kaksoisallekirjoitetun shim-käynnistystyökalun . Tämä tarkoittaa, että se on sertifioitu sekä vuoden 2011 että 2023 avaimilla, mikä varmistaa yhteensopivuuden sekä vanhempien tietokoneiden, jotka eivät tunne uutta avainta, että nykyaikaisten emolevyjen kanssa, joihin se on jo esiasennettu. Lopulta tulevat shim-versiot allekirjoitetaan yksinomaan vuoden 2023 avaimella.
Todelliset haavoittuvuudet: Vaara piilee vanhassa koodissa
Järjestelmän käynnistymisen voi estää varmenteen vanheneminen, vaan sen peruuttaminen UEFI-varmenteen peruutuslistan (DBX) kautta. Äskettäin julkaistuissa tietoturvaraporteissa esiteltiin kaksi kriittistä haavoittuvuutta (CVE-2026-8863 ja CVE-2026-10797), joiden avulla hyökkääjä voi suorittaa haitallista koodia ohittamalla Secure Boot -suojauksen.
Onneksi nämä haavoittuvuudet vaikuttavat vain erittäin vanhoihin shim-versioihin (versio 0.9 ja aiemmat, luotu ennen vuotta 2016). Näiden haavoittuvien kerrosten allekirjoitukset on lisätty kiellettyjen allekirjoitusten tietokantaan (DBX). Jos sinulla on erittäin vanhentunut järjestelmä (kuten CentOS 7.2 tai RHEL 7.2) ja UEFI-tietokanta on päivitetty, tietokoneesi käynnistyminen ei onnistu turvallisuussyistä.
Mitä sinun pitäisi tehdä (ja mitä sinun EI pitäisi tehdä)?
Vaikka vanheneminen ei riko nykyistä järjestelmääsi, kehittäjät suosittelevat vahvasti laiteohjelmistosi avaintietokannan päivittämistä , jotta saat uuden vuoden 2023 avaimen ja pysyt tulevaisuuden turvassa. Tässä ovat komennot laitteen tilan tarkistamiseksi:
Tarkista, käytätkö UEFIa vai BIOSia (vanhaa):
[[ -d /sys/firmware/efi ]] || echo BIOS
Tarkista, onko suojattu käynnistys käytössä:
mokutil --sb-state
Listaa laiteohjelmiston julkiset avaimet:
mokutil --db --short (Tässä pitäisi näkyä vuoden 2011 avain ja, jos olet ajan tasalla, vuoden 2023 avain).
Päivitä laiteohjelmistosi ja avaimesi automaattisesti:
sudo fwupdmgr update (Lataa päivitykset Linux Vendor Firmware Service -palvelusta).
Tarkista, millä avaimella shim-levysi on allekirjoitettu (vaatii pesign-paketin):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Lopuksi on syytä mainita, että Fedoran kehittäjät ovat antaneet varoituksen:
Jos olet kiinnostunut oppimaan lisää, löydät tiedot seuraavasta linkistä.