Enkele dagen geleden kwam het nieuws naar buiten dat het Microsoft-certificaat dat gebruikt wordt om de Linux-shimlaag digitaal te ondertekenen, eind deze maand (juni 2026) verloopt. Aangezien dit een essentieel onderdeel is dat moderne Linux-distributies (zoals Fedora, Ubuntu en openSUSE) in staat stelt op te starten op systemen met UEFI Secure Boot, is het begrijpelijk dat dit nieuws tot bezorgdheid heeft geleid. De ontwikkelaars van Fedora zijn echter zeer duidelijk geweest: er is geen reden tot paniek; uw computer zal gewoon blijven opstarten.
Om te begrijpen waarom er geen massale Linux-shutdown zal plaatsvinden, is het nodig om te begrijpen hoe de vertrouwensketen werkt. Tijdens het opstartproces controleert het UEFI-systeem niet of het certificaat is verlopen, omdat het zich uitsluitend richt op het verifiëren van de geldigheid van de cryptografische handtekening en of de sleutel niet expliciet is ingetrokken vanwege een beveiligingslek. Het verlopen van het certificaat uit 2011 betekent simpelweg dat Microsoft het niet langer kan gebruiken om nieuwe versies van de bootloader te ondertekenen.
De overgang naar de nieuwe sleutel van 2023
Om de compatibiliteit te behouden en ervoor te zorgen dat Linux-systemen op moderne hardware kunnen worden geïnstalleerd, heeft Microsoft in 2023 een nieuw certificaat gegenereerd. De overgang naar deze nieuwe sleutel is zo ontworpen dat deze volledig onzichtbaar is voor de gebruiker.
Momenteel bevatten repositories zoals Fedora Rawhide (de basis voor de aankomende Fedora 45) al een dubbel ondertekende shim-bootmanager . Dit betekent dat deze is gecertificeerd met zowel de 2011- als de 2023-sleutel, waardoor compatibiliteit is gegarandeerd met zowel oudere computers die de nieuwe sleutel niet kennen als moderne moederborden waarop deze al is voorgeïnstalleerd. Uiteindelijk zullen toekomstige versies van de shim uitsluitend met de 2023-sleutel worden ondertekend.
Werkelijke kwetsbaarheden: het gevaar schuilt in de oude code.
Wat een systeem daadwerkelijk kan belemmeren om op te starten, is niet het verlopen van een certificaat, maar de intrekking ervan via de UEFI Certificate Revocation List (bekend als DBX). Recent gepubliceerde beveiligingsrapporten beschrijven twee kritieke kwetsbaarheden (CVE-2026-8863 en CVE-2026-10797) waarmee een aanvaller kwaadaardige code kan uitvoeren door de Secure Boot-beveiliging te omzeilen.
Gelukkig treffen deze kwetsbaarheden alleen zeer oude versies van de shim (versie 0.9 en ouder, gemaakt vóór 2016). De signaturen van deze kwetsbare lagen zijn toegevoegd aan de database met verboden signaturen (DBX). Als u een zeer verouderd systeem hebt (zoals CentOS 7.2 of RHEL 7.2) en uw UEFI-database is bijgewerkt, zal uw computer om veiligheidsredenen niet opstarten.
Wat moet je doen (en wat moet je NIET doen)?
Hoewel het verlopen van de licentie uw huidige systeem niet zal beschadigen, raden de ontwikkelaars ten zeerste aan om de sleuteldatabase van uw firmware bij te werken om de nieuwe 2023-sleutel te ontvangen en zo toekomstbestendig te zijn. Hieronder vindt u de commando's om de status van uw apparaat te controleren:
Controleer of u UEFI of BIOS (Legacy) gebruikt:
[[ -d /sys/firmware/efi ]] || echo BIOS
Controleer of Secure Boot is ingeschakeld:
mokutil --sb-state
Geef een overzicht van de openbare sleutels in de firmware:
mokutil --db --short (Hier zou je de sleutel van 2011 moeten zien en, als je up-to-date bent, de sleutel van 2023).
Uw firmware en sleutels worden automatisch bijgewerkt:
sudo fwupdmgr update (Download updates van de Linux Vendor Firmware Service).
Controleer met welke sleutel uw shim is ondertekend (hiervoor is het pesign-pakket vereist):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Tot slot is het de moeite waard te vermelden dat de Fedora-ontwikkelaars een waarschuwing hebben uitgegeven:
Als je meer wilt weten, kun je de details vinden via de volgende link.