לפני מספר ימים פורסמו חדשות שבסוף החודש (יוני 2026), תעודת מיקרוסופט המשמשת לחתימה דיגיטלית על שכבת ה-shim של לינוקס תגיע לתאריך התפוגה שלה. מכיוון שזהו הרכיב החיוני המאפשר להפצות לינוקס מודרניות (כגון פדורה, אובונטו ו-openSUSE) לאתחל במערכות עם UEFI Secure Boot מופעל, מובן שהחדשות עוררו כמה חששות. עם זאת, מפתחי פדורה היו ברורים מאוד בנושא: אין סיבה להיכנס לפאניקה; המחשב שלך ימשיך לאתחל כרגיל.
כדי להבין מדוע לא תהיה כיבוי מסיבי של לינוקס, יש צורך להבין כיצד פועלת שרשרת האמון. במהלך תהליך האתחול, מערכת UEFI אינה בודקת אם התעודה פגה, שכן דאגתה היחידה היא לוודא שהחתימה הקריפטוגרפית תקפה ושהמפתח לא בוטל במפורש עקב פגיעה. פקיעת התעודה משנת 2011 פירושה פשוט שמיקרוסופט לא תוכל עוד להשתמש בה כדי לחתום על גרסאות חדשות של טוען האתחול.
המעבר למפתח החדש של 2023
כדי לשמור על תאימות ולהבטיח שניתן יהיה להתקין מערכות לינוקס על חומרה מודרנית, מיקרוסופט יצרה תעודה חדשה בשנת 2023. המעבר למפתח חדש זה תוכנן להיות בלתי נראה לחלוטין למשתמש.
נכון לעכשיו, מאגרים כמו Fedora Rawhide (הבסיס לפדורה 45 הקרובה) כבר כוללים מנהל אתחול shim עם חתימה כפולה . משמעות הדבר היא שהוא מאושר הן על ידי מפתחות 2011 והן על ידי מפתחות 2023, מה שמבטיח תאימות הן עם מחשבים ישנים יותר שאינם מכירים את המפתח החדש והן עם לוחות אם מודרניים שכבר מותקנים בו מראש. בסופו של דבר, גרסאות עתידיות של shim יהיו חתומות באופן בלעדי עם מפתח 2023.
פגיעויות אמיתיות: הסכנה טמונה בקוד הישן
מה שיכול למעשה למנוע ממערכת אתחול אינו תפוגה, אלא ביטול באמצעות רשימת ביטולי אישורי UEFI (המכונה DBX). דוחות אבטחה שפורסמו לאחרונה מפרטים שתי פגיעויות קריטיות (CVE-2026-8863 ו-CVE-2026-10797) המאפשרות לתוקף לבצע קוד זדוני על ידי עקיפת הגנת אתחול מאובטח.
למרבה המזל, פגיעויות אלו משפיעות רק על גרסאות ישנות ביותר של ה-shim (גרסה 0.9 וגרסאות קודמות, שנוצרו לפני 2016). חתימות השכבות הפגיעות הללו נוספו למסד הנתונים של חתימות אסורות (DBX). אם יש לכם מערכת מיושנת מאוד (כגון CentOS 7.2 או RHEL 7.2) ומסד הנתונים של UEFI שלכם מעודכן, המחשב שלכם לא יוכל לאתחל מסיבות אבטחה.
מה כדאי לעשות (ומה לא כדאי לעשות)?
למרות שתפוגת התוקף לא תשבש את המערכת הנוכחית שלך, המפתחים ממליצים בחום לעדכן את מסד הנתונים של מפתחות הקושחה שלך כדי לקבל את מפתח 2023 החדש ולהיות מוכנים לעתיד. להלן הפקודות לבדיקת סטטוס המכשיר שלך:
בדוק אם אתה משתמש ב-UEFI או ב-BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
בדוק אם אתחול מאובטח מופעל:
mokutil --sb-state
רשום את המפתחות הציבוריים בקושחה:
mokutil --db --short (כאן אתה אמור לראות את מפתח 2011, ואם אתה מעודכן, את מפתח 2023).
עדכן את הקושחה והמפתחות שלך באופן אוטומטי:
sudo fwupdmgr update (הורד עדכונים משירות הקושחה של ספקי לינוקס).
ודא עם איזה מפתח חתומה השים שלך (דורש את חבילת pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
לבסוף, ראוי לציין שמפתחי פדורה פרסמו אזהרה:
אם אתם מעוניינים ללמוד עוד, תוכלו למצוא את הפרטים בקישור הבא.