Néhány nappal ezelőtt felröppent a hír, hogy a hónap végén (2026 júniusában) lejár a Linux shim réteg digitális aláírására használt Microsoft-tanúsítvány érvényessége. Mivel ez az alapvető összetevő, amely lehetővé teszi a modern Linux disztribúciók (mint például a Fedora, az Ubuntu és az openSUSE) számára, hogy olyan rendszereken induljanak el, amelyeken engedélyezve van az UEFI Secure Boot, érthető, hogy a hír némi aggodalmat keltett. A Fedora fejlesztői azonban nagyon világosan fogalmaztak az ügyben: nincs ok a pánikra; a számítógép továbbra is normálisan fog indulni.
Ahhoz, hogy megértsük, miért nem lesz tömeges Linux-leállás, meg kell értenünk, hogyan működik a bizalmi lánc. A rendszerindítási folyamat során az UEFI rendszer nem ellenőrzi, hogy a tanúsítvány lejárt-e, mivel egyetlen feladata annak ellenőrzése, hogy a kriptográfiai aláírás érvényes-e , és hogy a kulcsot nem vonták-e vissza explicit módon kompromittálódás miatt. A 2011-es tanúsítvány lejárta egyszerűen azt jelenti, hogy a Microsoft a továbbiakban nem tudja majd használni a rendszerbetöltő új verzióinak aláírására.
Az átállás a 2023-as új kulcsra
A kompatibilitás fenntartása és a Linux rendszerek modern hardverekre való telepítésének biztosítása érdekében a Microsoft 2023-ban új tanúsítványt generált. Az új kulcsra való áttérés teljesen láthatatlan a felhasználó számára.
Jelenleg az olyan adattárak, mint a Fedora Rawhide (a közelgő Fedora 45 alapja), már tartalmaznak egy kettős aláírású shim boot managert . Ez azt jelenti, hogy mind a 2011-es, mind a 2023-as kulccsal hitelesített, biztosítva a kompatibilitást mind a régebbi számítógépekkel, amelyek nem ismerik az új kulcsot, mind a modern alaplapokkal, amelyekre már előre telepítve van. Végül a shim jövőbeli verziói kizárólag a 2023-as kulccsal lesznek aláírva.
Valódi sebezhetőségek: A veszély a régi kódban rejlik
Ami valójában megakadályozhatja egy rendszer indítását, az nem a lejárat, hanem a visszavonás az UEFI tanúsítvány-visszavonási listán (DBX) keresztül. A nemrégiben közzétett biztonsági jelentések két kritikus sebezhetőséget (CVE-2026-8863 és CVE-2026-10797) részleteznek, amelyek lehetővé teszik a támadók számára, hogy rosszindulatú kódot futtassanak a Secure Boot védelem megkerülésével.
Szerencsére ezek a sebezhetőségek csak a shim rendkívül régi verzióit érintik (0.9-es és korábbi verziók, 2016 előtt készültek). Ezen sebezhető rétegek aláírásait hozzáadták a tiltott aláírások adatbázisához (DBX). Ha nagyon elavult rendszerrel rendelkezik (például CentOS 7.2 vagy RHEL 7.2), és az UEFI adatbázisa frissítve van, a számítógép biztonsági okokból nem fog elindulni.
Mit kell tenned (és mit NEM szabad tenned)?
Bár a lejárat nem fogja tönkretenni a jelenlegi rendszeredet, a fejlesztők határozottan javasolják a firmware kulcsadatbázisának frissítését , hogy megkapd az új 2023-as kulcsot, és jövőbiztos legyél. Íme a parancsok az eszköz állapotának ellenőrzéséhez:
Ellenőrizd, hogy UEFI-t vagy BIOS-t (Legacy) használsz-e:
[[ -d /sys/firmware/efi ]] || echo BIOS
Ellenőrizd, hogy engedélyezve van-e a Biztonságos rendszerindítás:
mokutil --sb-state
Sorolja fel a firmware-ben található nyilvános kulcsokat:
mokutil --db --short (Itt a 2011-es kulcsot, és ha naprakész vagy, a 2023-as kulcsot kell látnod).
A firmware és a kulcsok automatikus frissítése:
sudo fwupdmgr update (Frissítések letöltése a Linux Vendor Firmware Service-ről).
Ellenőrizd, hogy a shim melyik kulccsal van aláírva (szükséges hozzá a pesign csomag):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Végül érdemes megemlíteni, hogy a Fedora fejlesztői figyelmeztetést adtak ki:
Ha többet szeretnél megtudni, a részleteket az alábbi linken találod.