Pirms dažām dienām parādījās ziņas, ka šī mēneša beigās (2026. gada jūnijā) beigsies derīguma termiņš Microsoft sertifikātam, ko izmanto Linux starplikas slāņa digitālai parakstīšanai. Tā kā šī ir būtiska sastāvdaļa, kas ļauj mūsdienu Linux distribūcijām (piemēram, Fedora, Ubuntu un openSUSE) startēties sistēmās ar iespējotu UEFI Secure Boot, ir saprotams, ka šīs ziņas ir radījušas zināmas bažas. Tomēr Fedora izstrādātāji šajā jautājumā ir bijuši ļoti skaidri: nav pamata panikai; jūsu dators turpinās startēties normāli.
Lai saprastu, kāpēc nebūs masveida Linux slēgšanas, ir jāsaprot, kā darbojas uzticības ķēde. Palaišanas procesa laikā UEFI sistēma nepārbauda, vai sertifikātam ir beidzies derīguma termiņš, jo tās vienīgā rūpe ir pārbaudīt, vai kriptogrāfiskais paraksts ir derīgs un vai atslēga nav skaidri atsaukta kompromitēšanas dēļ. 2011. gada sertifikāta derīguma termiņa beigas nozīmē vienkārši to, ka Microsoft vairs nevarēs to izmantot, lai parakstītu jaunas sāknēšanas ielādētāja versijas.
Pāreja uz jauno 2023. gada atslēgu
Lai saglabātu saderību un nodrošinātu, ka Linux sistēmas var instalēt modernā aparatūrā, Microsoft 2023. gadā ģenerēja jaunu sertifikātu. Pāreja uz šo jauno atslēgu ir izstrādāta tā, lai lietotājam tā būtu pilnīgi nemanāma.
Pašlaik tādās krātuvēs kā Fedora Rawhide (gaidāmās Fedora 45 pamats) jau ir iekļauts divkārši parakstīts shim sāknēšanas pārvaldnieks . Tas nozīmē, ka tas ir sertificēts gan ar 2011., gan 2023. gada atslēgām, nodrošinot saderību gan ar vecākiem datoriem, kas neatpazīst jauno atslēgu, gan ar modernām mātesplatēm, kurās tā jau ir iepriekš instalēta. Galu galā nākotnes shim versijas tiks parakstītas tikai ar 2023. gada atslēgu.
Reālas ievainojamības: briesmas slēpjas vecajā kodā
Sistēmas palaišanu faktiski var novērst nevis derīguma termiņa beigas, bet gan atsaukšana, izmantojot UEFI sertifikātu atsaukšanas sarakstu (pazīstams kā DBX). Nesen publicētajos drošības ziņojumos ir sīki aprakstītas divas kritiskas ievainojamības (CVE-2026-8863 un CVE-2026-10797), kas ļauj uzbrucējam izpildīt ļaunprātīgu kodu, apejot drošās sāknēšanas aizsardzību.
Par laimi, šīs ievainojamības ietekmē tikai ārkārtīgi vecas starplikas versijas (0.9. versija un vecākas, izveidotas pirms 2016. gada). Šo ievainojamo slāņu paraksti ir pievienoti aizliegto parakstu datubāzei (DBX). Ja jums ir ļoti novecojusi sistēma (piemēram, CentOS 7.2 vai RHEL 7.2) un jūsu UEFI datubāze ir atjaunināta, drošības apsvērumu dēļ dators nevarēs startēties.
Kas jums būtu jādara (un ko NEDRĪKST darīt)?
Lai gan derīguma termiņa beigas neizjauks jūsu pašreizējo sistēmu, izstrādātāji stingri iesaka atjaunināt jūsu programmaparatūras atslēgu datubāzi , lai saņemtu jauno 2023. gada atslēgu un nodrošinātu tās drošību nākotnē. Šeit ir komandas, lai pārbaudītu ierīces statusu:
Pārbaudiet, vai izmantojat UEFI vai BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Pārbaudiet, vai ir iespējota drošā sāknēšana:
mokutil --sb-state
Uzskaitiet publiskās atslēgas programmaparatūrā:
mokutil --db --short (Šeit vajadzētu redzēt 2011. gada atslēgu un, ja esat informēts, 2023. gada atslēgu).
Automātiski atjauniniet programmaparatūru un atslēgas:
sudo fwupdmgr update (Lejupielādējiet atjauninājumus no Linux piegādātāja programmaparatūras pakalpojuma).
Pārbaudiet, ar kuru atslēgu ir parakstīts jūsu shim (nepieciešama pesign pakotne):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Visbeidzot, ir vērts pieminēt, ka Fedora izstrādātāji ir izdevuši brīdinājumu:
Ja vēlaties uzzināt vairāk, sīkāku informāciju varat atrast tālāk norādītajā saitē.