Prieš kelias dienas pasirodė žinia, kad šio mėnesio pabaigoje (2026 m. birželį) baigsis „Microsoft“ sertifikato, naudojamo „Linux shim“ sluoksniui skaitmeniniu būdu pasirašyti, galiojimo laikas. Kadangi tai yra esminis komponentas, leidžiantis šiuolaikinėms „Linux“ distribucijoms (pvz., „Fedora“, „Ubuntu“ ir „openSUSE“) paleisti sistemas su įjungta „UEFI Secure Boot“, suprantama, kad ši žinia sukėlė tam tikrą susirūpinimą. Tačiau „Fedora“ kūrėjai labai aiškiai pasakė: nėra jokios priežasties panikuoti; jūsų kompiuteris ir toliau paleisis įprastai.
Norint suprasti, kodėl nebus masinio „Linux“ išjungimo, būtina suprasti, kaip veikia pasitikėjimo grandinė. Paleidimo proceso metu UEFI sistema netikrina, ar sertifikato galiojimo laikas pasibaigęs, nes jos vienintelis rūpestis yra patikrinti, ar kriptografinis parašas galioja ir ar raktas nebuvo aiškiai atšauktas dėl kompromitacijos. 2011 m. sertifikato galiojimo pabaiga tiesiog reiškia, kad „Microsoft“ nebegalės jo naudoti naujoms įkrovos įkrovos programos versijoms pasirašyti.
Perėjimas prie naujojo 2023 m. rakto
Siekdama išlaikyti suderinamumą ir užtikrinti, kad „Linux“ sistemas būtų galima įdiegti šiuolaikinėje aparatinėje įrangoje, „Microsoft“ 2023 m. sukūrė naują sertifikatą. Perėjimas prie šio naujo rakto buvo sukurtas taip, kad vartotojas jo visiškai nematytų.
Šiuo metu saugyklos, tokios kaip „Fedora Rawhide“ (būsimo „Fedora 45“ pagrindas), jau turi dvigubo parašo „shim“ įkrovos tvarkyklę . Tai reiškia, kad ji yra sertifikuota tiek 2011, tiek 2023 m. raktais, užtikrinant suderinamumą tiek su senesniais kompiuteriais, kurie nežino naujojo rakto, tiek su moderniomis pagrindinėmis plokštėmis, kuriose jis jau yra iš anksto įdiegtas. Galiausiai, būsimos „shim“ versijos bus pasirašytos tik su 2023 m. raktu.
Tikri pažeidžiamumai: pavojus slypi sename kode
Iš tikrųjų sistemos paleidimą gali sutrukdyti ne galiojimo pabaiga, o atšaukimas naudojant UEFI sertifikatų atšaukimo sąrašą (žinomą kaip DBX). Neseniai paskelbtose saugumo ataskaitose išsamiai aprašomos dvi kritinės pažeidžiamumo ribos (CVE-2026-8863 ir CVE-2026-10797), leidžiančios užpuolikui vykdyti kenkėjišką kodą apeinant saugaus paleidimo apsaugą.
Laimei, šie pažeidžiamumai paveikia tik itin senas „shim“ versijas (0.9 ir senesnes versijas, sukurtas iki 2016 m.). Šių pažeidžiamų sluoksnių parašai buvo įtraukti į draudžiamų parašų duomenų bazę (DBX). Jei turite labai pasenusią sistemą (pvz., „CentOS 7.2“ arba „RHEL 7.2“) ir jūsų UEFI duomenų bazė yra atnaujinta, dėl saugumo priežasčių jūsų kompiuteris nepavyks paleisti.
Ką turėtumėte daryti (ir ko neturėtumėte daryti)?
Nors galiojimo pabaigos data nesugadins jūsų dabartinės sistemos, kūrėjai primygtinai rekomenduoja atnaujinti programinės įrangos raktų duomenų bazę , kad gautumėte naują 2023 m. raktą ir būtumėte pasiruošę ateičiai. Štai komandos, skirtos patikrinti jūsų įrenginio būseną:
Patikrinkite, ar naudojate UEFI, ar BIOS (senąją versiją):
[[ -d /sys/firmware/efi ]] || echo BIOS
Patikrinkite, ar įjungtas saugus įkrovimas:
mokutil --sb-state
Išvardykite viešuosius raktus programinėje įrangoje:
mokutil --db --short (Čia turėtumėte matyti 2011 m. raktą ir, jei žinote, 2023 m. raktą).
Automatiškai atnaujinkite programinę-aparatinę įrangą ir raktus:
sudo fwupdmgr update (Atsisiųskite atnaujinimus iš „Linux Vendor Firmware Service“).
Patikrinkite, kuriuo raktu pasirašytas jūsų shim (reikalingas „pesign“ paketas):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Galiausiai verta paminėti, kad „Fedora“ kūrėjai paskelbė įspėjimą:
Jei norite sužinoti daugiau, išsamią informaciją galite rasti toliau pateiktoje nuorodoje.