Qualche giorno fa è giunta la notizia che alla fine di questo mese (giugno 2026) il certificato Microsoft utilizzato per firmare digitalmente il layer di shim di Linux raggiungerà la data di scadenza. Poiché si tratta di un componente essenziale che consente alle moderne distribuzioni Linux (come Fedora, Ubuntu e openSUSE) di avviarsi su sistemi con UEFI Secure Boot abilitato, è comprensibile che la notizia abbia destato qualche preoccupazione. Tuttavia, gli sviluppatori di Fedora sono stati molto chiari al riguardo: non c'è motivo di allarmarsi; il computer continuerà ad avviarsi normalmente.
Per capire perché non ci sarà un blocco massiccio di Linux, è necessario comprendere come funziona la catena di fiducia. Durante il processo di avvio, il sistema UEFI non verifica se il certificato è scaduto, poiché la sua unica preoccupazione è verificare che la firma crittografica sia valida e che la chiave non sia stata esplicitamente revocata a seguito di una compromissione. La scadenza del certificato del 2011 significa semplicemente che Microsoft non potrà più utilizzarlo per firmare le nuove versioni del bootloader.
Il passaggio alla nuova chiave del 2023
Per mantenere la compatibilità e garantire che i sistemi Linux possano essere installati su hardware moderno, Microsoft ha generato un nuovo certificato nel 2023. La transizione a questa nuova chiave è stata progettata per essere completamente trasparente per l'utente.
Attualmente, repository come Fedora Rawhide (la base per la prossima Fedora 45) includono già un boot manager shim con doppia firma . Ciò significa che è certificato sia dalla chiave del 2011 che da quella del 2023, garantendo la compatibilità sia con i computer più vecchi che non riconoscono la nuova chiave, sia con le schede madri moderne che la hanno già preinstallata. In futuro, le versioni dello shim saranno firmate esclusivamente con la chiave del 2023.
Vulnerabilità reali: il pericolo risiede nel vecchio codice
Ciò che può effettivamente impedire l'avvio di un sistema non è la scadenza del certificato, bensì la revoca tramite l'elenco di revoca dei certificati UEFI (noto come DBX). Recenti report sulla sicurezza hanno evidenziato due vulnerabilità critiche (CVE-2026-8863 e CVE-2026-10797) che consentono a un utente malintenzionato di eseguire codice dannoso aggirando la protezione Secure Boot.
Fortunatamente, queste vulnerabilità interessano solo le versioni estremamente vecchie dello shim (versione 0.9 e precedenti, create prima del 2016). Le firme di questi livelli vulnerabili sono state aggiunte al database delle firme proibite (DBX). Se si dispone di un sistema molto obsoleto (come CentOS 7.2 o RHEL 7.2) e il database UEFI viene aggiornato, il computer non si avvierà per motivi di sicurezza.
Cosa dovresti fare (e cosa NON dovresti fare)?
Sebbene la scadenza non comprometta il funzionamento del sistema attuale, gli sviluppatori raccomandano vivamente di aggiornare il database delle chiavi del firmware per ricevere la nuova chiave del 2023 ed essere pronti per il futuro. Ecco i comandi per verificare lo stato del dispositivo:
Verifica se stai utilizzando UEFI o BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Verifica se l'avvio protetto (Secure Boot) è abilitato:
mokutil --sb-state
Elenca le chiavi pubbliche presenti nel firmware:
mokutil --db --short (Qui dovreste vedere la chiave del 2011 e, se siete aggiornati, anche quella del 2023).
Aggiorna automaticamente il firmware e le chiavi:
sudo fwupdmgr update (Scarica gli aggiornamenti dal servizio firmware del fornitore Linux).
Verifica con quale chiave è firmato il tuo shim (richiede il pacchetto pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Infine, vale la pena menzionare che gli sviluppatori di Fedora hanno emesso un avviso:
Se desideri saperne di più, puoi trovare i dettagli al seguente link.