며칠 전, 리눅스 shim 레이어에 디지털 서명을 하는 데 사용되는 마이크로소프트 인증서가 이달 말 (2026년 6월) 에 만료된다는 소식이 전해졌습니다. 이 인증서는 Fedora, Ubuntu, openSUSE와 같은 최신 리눅스 배포판이 UEFI 보안 부팅이 활성화된 시스템에서 부팅될 수 있도록 하는 필수 구성 요소이기 때문에, 이 소식이 우려를 불러일으킨 것은 당연합니다. 하지만 Fedora 개발진은 이 문제에 대해 매우 분명하게 밝혔습니다. 걱정할 필요가 없으며, 컴퓨터는 계속해서 정상적으로 부팅될 것이라는 것입니다.
리눅스 생태계에 대규모 장애가 발생하지 않을 이유를 이해하려면 신뢰 체인이 어떻게 작동하는지 알아야 합니다. UEFI 시스템은 부팅 과정에서 인증서 만료 여부를 확인하지 않습니다. UEFI 시스템 의 유일한 관심사는 암호화 서명이 유효한지, 그리고 키가 손상으로 인해 명시적으로 폐기되지 않았는지 확인하는 것이기 때문입니다 . 2011년 인증서 만료는 마이크로소프트가 더 이상 해당 인증서를 사용하여 부트로더의 새 버전에 서명할 수 없게 된다는 것을 의미할 뿐입니다.
2023년의 새로운 키로의 전환
호환성을 유지 하고 리눅스 시스템을 최신 하드웨어에 설치할 수 있도록 하기 위해 마이크로소프트는 2023년에 새로운 인증서를 발급했습니다 . 이 새로운 인증서로의 전환은 사용자에게 전혀 눈에 띄지 않도록 설계되었습니다.
현재 Fedora Rawhide (다가오는 Fedora 45의 기반) 와 같은 저장소에는 이미 이중 서명된 shim 부트 관리자가 포함되어 있습니다 . 즉, 2011년 및 2023년 키 모두로 인증되어 새 키를 알지 못하는 구형 컴퓨터와 새 키가 이미 설치된 최신 마더보드 모두와의 호환성을 보장합니다. 향후 shim의 다음 버전은 2023년 키로만 서명될 예정입니다.
실제 취약점: 위험은 오래된 코드에 있다
실제로 시스템 부팅을 막는 원인은 인증서 만료가 아니라 UEFI 인증서 폐지 목록(DBX)을 통한 인증서 폐지입니다. 최근 발표된 보안 보고서에 따르면 공격자가 보안 부팅 보호 기능을 우회하여 악성 코드를 실행할 수 있도록 하는 두 가지 심각한 취약점(CVE-2026-8863 및 CVE-2026-10797)이 발견되었습니다.
다행히 이러한 취약점은 매우 오래된 버전의 shim (버전 0.9 이하, 2016년 이전에 제작된 버전)에만 영향을 미칩니다. 이러한 취약한 레이어의 시그니처는 금지된 시그니처 데이터베이스(DBX)에 추가되었습니다. CentOS 7.2 또는 RHEL 7.2와 같이 매우 오래된 시스템을 사용하고 있고 UEFI 데이터베이스가 업데이트된 경우, 보안상의 이유로 컴퓨터 부팅이 실패할 수 있습니다.
무엇을 해야 하고 무엇을 하지 말아야 할까요?
만료로 인해 현재 시스템에 문제가 발생하지는 않지만, 개발자는 향후 호환성을 확보하기 위해 펌웨어의 키 데이터베이스를 업데이트하여 새로운 2023년 키를 받는 것을 강력히 권장합니다. 다음은 기기의 상태를 확인하는 명령어입니다.
UEFI 또는 BIOS(레거시)를 사용 중인지 확인하십시오.
[[ -d /sys/firmware/efi ]] || echo BIOS
보안 부팅이 활성화되어 있는지 확인하십시오.
mokutil --sb-state
펌웨어에 저장된 공개 키 목록을 확인하세요.
mokutil --db --short (여기에서 2011년 키를 볼 수 있으며, 최신 버전이라면 2023년 키도 볼 수 있습니다.)
펌웨어와 키를 자동으로 업데이트하세요:
sudo fwupdmgr update (리눅스 공급업체 펌웨어 서비스에서 업데이트를 다운로드하십시오.)
심(shim)이 어떤 키로 서명되었는지 확인하십시오(pesign 패키지 필요):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
마지막으로, 페도라 개발자들이 경고를 발표했다는 점을 언급할 가치가 있습니다.
더 자세한 내용을 알고 싶으시면 다음 링크에서 확인하실 수 있습니다.