Il y a quelques jours, une information a circulé : le certificat Microsoft utilisé pour signer numériquement la couche d'interface Linux (shim) expirera à la fin du mois (juin 2026). Ce certificat étant essentiel au démarrage des distributions Linux modernes (comme Fedora, Ubuntu et openSUSE) sur les systèmes avec UEFI Secure Boot activé, cette nouvelle a suscité des inquiétudes. Cependant, les développeurs de Fedora ont été très clairs : il n'y a pas lieu de paniquer, votre ordinateur continuera de démarrer normalement.
Pour comprendre pourquoi il n'y aura pas d'arrêt massif de Linux, il est nécessaire de comprendre le fonctionnement de la chaîne de confiance. Lors du processus de démarrage, le système UEFI ne vérifie pas si le certificat a expiré ; son seul objectif est de vérifier la validité de la signature cryptographique et de s'assurer que la clé n'a pas été explicitement révoquée suite à une compromission. L'expiration du certificat de 2011 signifie simplement que Microsoft ne pourra plus l'utiliser pour signer les nouvelles versions du chargeur de démarrage.
La transition vers la nouvelle clé de 2023
Pour maintenir la compatibilité et garantir l'installation des systèmes Linux sur du matériel moderne, Microsoft a généré un nouveau certificat en 2023. La transition vers cette nouvelle clé a été conçue pour être totalement invisible pour l'utilisateur.
Actuellement, des dépôts comme Fedora Rawhide (qui servira de base à la future Fedora 45) incluent déjà un gestionnaire de démarrage shim à double signature . Cela signifie qu'il est certifié par les clés de 2011 et 2023, garantissant ainsi la compatibilité avec les ordinateurs plus anciens qui ne reconnaissent pas la nouvelle clé et avec les cartes mères modernes qui l'intègrent déjà . À terme, les versions futures du shim seront signées exclusivement avec la clé de 2023.
Vulnérabilités réelles : le danger réside dans l'ancien code.
Ce qui peut réellement empêcher le démarrage d'un système n'est pas l'expiration du certificat, mais sa révocation via la liste de révocation des certificats UEFI (connue sous le nom de DBX). Des rapports de sécurité récemment publiés détaillent deux vulnérabilités critiques (CVE-2026-8863 et CVE-2026-10797) permettant à un attaquant d'exécuter du code malveillant en contournant la protection du démarrage sécurisé.
Heureusement, ces vulnérabilités n'affectent que les versions très anciennes du shim (version 0.9 et antérieures, créées avant 2016). Les signatures de ces couches vulnérables ont été ajoutées à la base de données des signatures interdites (DBX). Si vous utilisez un système très ancien (comme CentOS 7.2 ou RHEL 7.2) et que votre base de données UEFI est à jour, votre ordinateur ne démarrera pas pour des raisons de sécurité.
Que devez-vous faire (et que ne devez-vous PAS faire) ?
Bien que l'expiration de la clé n'affecte pas votre système actuel, les développeurs recommandent vivement de mettre à jour la base de données de clés de votre firmware afin de recevoir la nouvelle clé 2023 et d'assurer la compatibilité future. Voici les commandes pour vérifier l'état de votre appareil :
Vérifiez si vous utilisez UEFI ou BIOS (Legacy) :
[[ -d /sys/firmware/efi ]] || echo BIOS
Vérifiez si le démarrage sécurisé est activé :
mokutil --sb-state
Liste des clés publiques du firmware :
mokutil --db --short (Vous devriez voir ici la clé 2011 et, si vous êtes à jour, la clé 2023).
Mettez à jour automatiquement votre firmware et vos clés :
sudo fwupdmgr update (Téléchargez les mises à jour depuis le service de microprogrammes du fournisseur Linux).
Vérifiez la clé avec laquelle votre shim est signé (nécessite le package pesign) :
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Enfin, il convient de mentionner que les développeurs de Fedora ont émis un avertissement :
Si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.