Prije nekoliko dana pojavila se vijest da će krajem ovog mjeseca (lipanj 2026.) Microsoftov certifikat koji se koristi za digitalno potpisivanje Linux shim sloja dosegnuti svoj datum isteka. Budući da je ovo bitna komponenta koja omogućuje modernim Linux distribucijama (kao što su Fedora, Ubuntu i openSUSE) pokretanje na sustavima s omogućenim UEFI Secure Bootom, razumljivo je da je vijest izazvala određenu zabrinutost. Međutim, Fedorini programeri bili su vrlo jasni po tom pitanju: nema razloga za paniku; vaše će se računalo nastaviti normalno pokretati.
Da bismo razumjeli zašto neće doći do masovnog gašenja Linuxa, potrebno je razumjeti kako funkcionira lanac povjerenja. Tijekom procesa pokretanja, UEFI sustav ne provjerava je li certifikat istekao, jer mu je jedina briga provjeriti je li kriptografski potpis valjan i je li ključ izričito opozvan zbog kompromitiranja. Istek certifikata iz 2011. jednostavno znači da ga Microsoft više neće moći koristiti za potpisivanje novih verzija bootloadera.
Prijelaz na novi ključ iz 2023.
Kako bi održao kompatibilnost i osigurao da se Linux sustavi mogu instalirati na moderni hardver, Microsoft je 2023. godine generirao novi certifikat. Prijelaz na ovaj novi ključ osmišljen je tako da bude potpuno nevidljiv korisniku.
Trenutno, repozitoriji poput Fedore Rawhide (osnove za nadolazeću Fedoru 45) već uključuju upravitelj pokretanja s dvostrukim potpisom shim-a . To znači da je certificiran i ključevima 2011 i 2023, što osigurava kompatibilnost i sa starijim računalima koja ne poznaju novi ključ i s modernim matičnim pločama koje ga već imaju unaprijed instaliran. Na kraju će buduće verzije shim-a biti potpisane isključivo ključem 2023.
Prave ranjivosti: Opasnost leži u starom kodu
Ono što zapravo može spriječiti pokretanje sustava nije istek, već opoziv putem UEFI popisa opozvanih certifikata (poznatog kao DBX). Nedavno objavljena sigurnosna izvješća detaljno opisuju dvije kritične ranjivosti (CVE-2026-8863 i CVE-2026-10797) koje omogućuju napadaču izvršavanje zlonamjernog koda zaobilazeći zaštitu Secure Boot.
Srećom, ove ranjivosti utječu samo na izrazito stare verzije shima (verzija 0.9 i starije, stvorene prije 2016.). Potpisi ovih ranjivih slojeva dodani su u bazu podataka zabranjenih potpisa (DBX). Ako imate vrlo zastarjeli sustav (kao što je CentOS 7.2 ili RHEL 7.2) i vaša UEFI baza podataka je ažurirana, vaše računalo se neće pokrenuti iz sigurnosnih razloga.
Što biste trebali učiniti (a što NE biste trebali učiniti)?
Iako istek neće uništiti vaš trenutni sustav, programeri toplo preporučuju ažuriranje baze podataka ključeva vašeg firmvera kako biste primili novi ključ 2023 i bili spremni za budućnost. Evo naredbi za provjeru statusa vašeg uređaja:
Provjerite koristite li UEFI ili BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Provjerite je li omogućeno sigurno pokretanje:
mokutil --sb-state
Navedite javne ključeve u firmveru:
mokutil --db --short (Ovdje biste trebali vidjeti ključ iz 2011. i, ako imate ažuriranu verziju, ključ iz 2023.).
Automatski ažurirajte firmver i ključeve:
sudo fwupdmgr update (Preuzmite ažuriranja s usluge firmvera dobavljača Linuxa).
Provjerite kojim ključem je potpisan vaš shim (potreban je paket dizajna):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Konačno, vrijedi spomenuti da su Fedorini programeri izdali upozorenje:
Ako ste zainteresirani saznati više, detalje možete pronaći na sljedećoj poveznici.