Beberapa hari yang lalu, muncul berita bahwa pada akhir bulan ini (Juni 2026), sertifikat Microsoft yang digunakan untuk menandatangani lapisan shim Linux secara digital akan mencapai tanggal kedaluwarsanya. Karena ini adalah komponen penting yang memungkinkan distribusi Linux modern (seperti Fedora, Ubuntu, dan openSUSE) untuk melakukan booting pada sistem dengan UEFI Secure Boot yang diaktifkan, dapat dimengerti bahwa berita tersebut telah menimbulkan beberapa kekhawatiran. Namun, para pengembang Fedora telah sangat jelas mengenai hal ini: tidak perlu panik; komputer Anda akan terus melakukan booting secara normal.
Untuk memahami mengapa tidak akan ada penghentian massal Linux, perlu dipahami bagaimana rantai kepercayaan bekerja. Selama proses booting, sistem UEFI tidak memeriksa apakah sertifikat telah kedaluwarsa, karena satu-satunya perhatiannya adalah memverifikasi bahwa tanda tangan kriptografi valid dan bahwa kunci belum dicabut secara eksplisit karena adanya pelanggaran keamanan. Kedaluwarsa sertifikat tahun 2011 hanya berarti bahwa Microsoft tidak akan lagi dapat menggunakannya untuk menandatangani versi bootloader yang baru.
Transisi ke kunci baru tahun 2023
Untuk menjaga kompatibilitas dan memastikan bahwa sistem Linux dapat diinstal pada perangkat keras modern, Microsoft membuat sertifikat baru pada tahun 2023. Transisi ke kunci baru ini dirancang agar sepenuhnya tidak terlihat oleh pengguna.
Saat ini, repositori seperti Fedora Rawhide (dasar untuk Fedora 45 yang akan datang) sudah menyertakan pengelola boot shim yang ditandatangani ganda . Ini berarti pengelola boot tersebut disertifikasi oleh kunci 2011 dan 2023, memastikan kompatibilitas dengan komputer lama yang tidak mengenal kunci baru dan motherboard modern yang sudah memiliki pengelola boot tersebut terpasang. Pada akhirnya, versi shim di masa mendatang akan ditandatangani secara eksklusif dengan kunci 2023.
Kerentanan sebenarnya: Bahayanya terletak pada kode lama.
Yang sebenarnya dapat mencegah sistem untuk melakukan booting bukanlah masa berlaku sertifikat, tetapi pencabutan melalui Daftar Pencabutan Sertifikat UEFI (dikenal sebagai DBX). Laporan keamanan yang baru-baru ini diterbitkan merinci dua kerentanan kritis (CVE-2026-8863 dan CVE-2026-10797) yang memungkinkan penyerang untuk mengeksekusi kode berbahaya dengan melewati perlindungan Secure Boot.
Untungnya, kerentanan ini hanya memengaruhi versi shim yang sangat lama (versi 0.9 dan sebelumnya, dibuat sebelum tahun 2016). Tanda tangan dari lapisan yang rentan ini telah ditambahkan ke basis data tanda tangan terlarang (DBX). Jika Anda memiliki sistem yang sangat usang (seperti CentOS 7.2 atau RHEL 7.2) dan basis data UEFI Anda diperbarui, komputer Anda akan gagal melakukan booting karena alasan keamanan.
Apa yang harus Anda lakukan (dan apa yang TIDAK boleh Anda lakukan)?
Meskipun masa berlakunya habis tidak akan merusak sistem Anda saat ini, para pengembang sangat menyarankan untuk memperbarui basis data kunci firmware Anda agar menerima kunci 2023 yang baru dan siap untuk masa mendatang. Berikut adalah perintah untuk memeriksa status perangkat Anda:
Periksa apakah Anda menggunakan UEFI atau BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Periksa apakah Secure Boot diaktifkan:
mokutil --sb-state
Cantumkan kunci publik di firmware:
mokutil --db --short (Di sini Anda seharusnya melihat kunci tahun 2011 dan, jika Anda sudah memperbarui sistem, kunci tahun 2023).
Perbarui firmware dan kunci Anda secara otomatis:
sudo fwupdmgr update (Unduh pembaruan dari Layanan Firmware Vendor Linux).
Verifikasi kunci mana yang digunakan untuk menandatangani shim Anda (memerlukan paket pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Terakhir, perlu disebutkan bahwa para pengembang Fedora telah mengeluarkan peringatan:
Jika Anda tertarik untuk mempelajari lebih lanjut, Anda dapat menemukan detailnya di tautan berikut.