Beberapa hari yang lalu, terdapat berita bahawa pada akhir bulan ini (Jun 2026), sijil Microsoft yang digunakan untuk menandatangani lapisan shim Linux secara digital akan mencapai tarikh luputnya. Memandangkan ini merupakan komponen penting yang membolehkan pengedaran Linux moden (seperti Fedora, Ubuntu dan openSUSE) boot pada sistem dengan UEFI Secure Boot diaktifkan, difahami bahawa berita itu telah menimbulkan beberapa kebimbangan. Walau bagaimanapun, pembangun Fedora telah menjelaskan perkara ini dengan sangat jelas: tiada sebab untuk panik; komputer anda akan terus boot seperti biasa.
Untuk memahami mengapa penutupan Linux secara besar-besaran tidak akan berlaku, adalah perlu untuk memahami cara rantaian kepercayaan berfungsi. Semasa proses but, sistem UEFI tidak menyemak sama ada sijil telah tamat tempoh, kerana satu-satunya perkara yang perlu dipertimbangkan adalah untuk mengesahkan bahawa tandatangan kriptografi adalah sah dan kunci tersebut tidak dibatalkan secara eksplisit kerana pencerobohan. Tamat tempoh sijil 2011 bermakna Microsoft tidak lagi dapat menggunakannya untuk menandatangani versi baharu bootloader.
Peralihan kepada kunci baharu 2023
Untuk mengekalkan keserasian dan memastikan sistem Linux boleh dipasang pada perkakasan moden, Microsoft telah menghasilkan sijil baharu pada tahun 2023. Peralihan kepada kunci baharu ini telah direka bentuk agar tidak dapat dilihat sepenuhnya oleh pengguna.
Pada masa ini, repositori seperti Fedora Rawhide (asas untuk Fedora 45 yang akan datang) sudah termasuk pengurus but shim bertandatangan dua . Ini bermakna ia diperakui oleh kedua-dua kekunci 2011 dan 2023, memastikan keserasian dengan komputer lama yang tidak mengetahui kekunci baharu dan papan induk moden yang telah memasangnya terlebih dahulu. Akhirnya, versi shim akan datang akan ditandatangani secara eksklusif dengan kekunci 2023.
Kerentanan sebenar: Bahayanya terletak pada kod lama
Apa yang sebenarnya boleh menghalang sistem daripada but bukanlah tamat tempoh, tetapi pembatalan melalui Senarai Pembatalan Sijil UEFI (dikenali sebagai DBX). Laporan keselamatan baru-baru ini diterbitkan yang memperincikan dua kelemahan kritikal (CVE-2026-8863 dan CVE-2026-10797) yang membolehkan penyerang melaksanakan kod berniat jahat dengan memintas perlindungan Secure Boot.
Mujurlah, kelemahan ini hanya menjejaskan versi shim yang sangat lama (versi 0.9 dan lebih awal, dicipta sebelum 2016). Tandatangan lapisan terdedah ini telah ditambahkan ke pangkalan data tandatangan yang dilarang (DBX). Jika anda mempunyai sistem yang sangat ketinggalan zaman (seperti CentOS 7.2 atau RHEL 7.2) dan pangkalan data UEFI anda dikemas kini, komputer anda akan gagal but atas sebab keselamatan.
Apa yang perlu anda lakukan (dan apa yang TIDAK BOLEH anda lakukan)?
Walaupun tamat tempoh tidak akan merosakkan sistem semasa anda, pembangun sangat mengesyorkan mengemas kini pangkalan data kunci firmware anda untuk menerima kunci 2023 baharu dan tahan lama pada masa hadapan. Berikut ialah arahan untuk menyemak status peranti anda:
Semak sama ada anda menggunakan UEFI atau BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Periksa sama ada But Selamat diaktifkan:
mokutil --sb-state
Senaraikan kunci awam dalam firmware:
mokutil --db --short (Di sini anda akan melihat kekunci 2011 dan, jika anda terkini, kekunci 2023).
Kemas kini firmware dan kekunci anda secara automatik:
sudo fwupdmgr update (Muat turun kemas kini daripada Perkhidmatan Firmware Vendor Linux).
Sahkan kunci yang digunakan untuk menandatangani shim anda (memerlukan pakej pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Akhir sekali, perlu dinyatakan bahawa pembangun Fedora telah mengeluarkan amaran:
Jika anda berminat untuk mengetahui lebih lanjut, anda boleh mendapatkan butiran lanjut di pautan berikut.