Microsoft Secure Boot-sertifikatet for Linux utløper: Hva du skal gjøre

Viktige punkter:
  • Microsofts 2011-sertifikat som ble brukt til å signere "shim"-laget i Linux-distribusjoner utløper i slutten av juni 2026.
  • Utløpsdatoen vil ikke hindre eksisterende systemer i å starte opp, ettersom UEFI Secure Boot bare låser nøkler hvis de har blitt eksplisitt tilbakekalt (DBX).
  • Fedora og andre distribusjoner distribuerer allerede dobbeltsignerte shim-lag som inkluderer Microsofts nye 2023-sertifikat.
  • Det anbefales å oppdatere fastvaren ved hjelp av fwupdmgr for å integrere de nye nøklene på en sikker måte.
  • Det er viktig å ikke slette 2011-nøkkelen manuelt fra fastvaren, da den brukes til å validere periferiutstyr, og sletting av den kan gjøre utstyret ubrukelig.
David Y. NaranjoOppdatert den

4 minutter

sikker-oppstart-linux

For noen dager siden kom det nyheten om at Microsoft-sertifikatet som brukes til å signere Linux-shimlaget digitalt, vil utløpe ved slutten av denne måneden (juni 2026) . Siden dette er den essensielle komponenten som lar moderne Linux-distribusjoner (som Fedora, Ubuntu og openSUSE) starte opp på systemer med UEFI Secure Boot aktivert, er det forståelig at nyheten har skapt bekymring. Fedora-utviklerne har imidlertid vært veldig tydelige på saken: det er ingen grunn til panikk; datamaskinen din vil fortsette å starte opp normalt.

For å forstå hvorfor det ikke blir en massiv Linux-nedstengning, er det nødvendig å forstå hvordan tillitskjeden fungerer. Under oppstartsprosessen sjekker ikke UEFI-systemet om sertifikatet er utløpt, da det eneste problemet er å bekrefte at den kryptografiske signaturen er gyldig og at nøkkelen ikke eksplisitt har blitt tilbakekalt på grunn av kompromittering. Utløpet av 2011-sertifikatet betyr ganske enkelt at Microsoft ikke lenger vil kunne bruke det til å signere nye versjoner av oppstartslasteren.

Overgangen til den nye nøkkelen i 2023

For å opprettholde kompatibilitet og sikre at Linux-systemer kan installeres på moderne maskinvare, genererte Microsoft et nytt sertifikat i 2023. Overgangen til denne nye nøkkelen er utformet for å være fullstendig usynlig for brukeren.

For øyeblikket inkluderer repositorier som Fedora Rawhide (grunnlaget for den kommende Fedora 45) allerede en dobbeltsignert shim-oppstartsbehandler . Dette betyr at den er sertifisert av både 2011- og 2023-nøklene, noe som sikrer kompatibilitet med både eldre datamaskiner som ikke kjenner den nye nøkkelen og moderne hovedkort som allerede har den forhåndsinstallert. Etter hvert vil fremtidige versjoner av shimen bli signert eksklusivt med 2023-nøkkelen.

Reelle sårbarheter: Faren ligger i den gamle koden

Det som faktisk kan forhindre at et system starter opp er ikke utløpsdatoen, men tilbakekalling via UEFI-sertifikattilbakekallingslisten (kjent som DBX). Sikkerhetsrapporter som nylig er publisert, beskriver to kritiske sårbarheter (CVE-2026-8863 og CVE-2026-10797) som lar en angriper kjøre skadelig kode ved å omgå sikker oppstartsbeskyttelse.

Heldigvis påvirker disse sårbarhetene bare ekstremt gamle versjoner av shim-en (versjon 0.9 og tidligere, opprettet før 2016). Signaturene til disse sårbare lagene er lagt til i databasen over forbudte signaturer (DBX). Hvis du har et svært utdatert system (som CentOS 7.2 eller RHEL 7.2) og UEFI-databasen din er oppdatert, vil datamaskinen din ikke starte opp av sikkerhetsmessige årsaker.

Hva bør du gjøre (og hva bør du IKKE gjøre)?

Selv om utløpet ikke vil ødelegge det nåværende systemet ditt, anbefaler utviklerne på det sterkeste at du oppdaterer nøkkeldatabasen til fastvaren din for å motta den nye 2023-nøkkelen og være fremtidssikker. Her er kommandoene for å sjekke enhetens status:

Sjekk om du bruker UEFI eller BIOS (eldre):

[[ -d /sys/firmware/efi ]] || echo BIOS

Sjekk om sikker oppstart er aktivert:

mokutil --sb-state

List opp de offentlige nøklene i fastvaren:

mokutil --db --short (Her skal du se 2011-nøkkelen, og hvis du er oppdatert, 2023-nøkkelen).

Oppdater fastvaren og nøklene automatisk:

sudo fwupdmgr update (Last ned oppdateringer fra Linux-leverandørens fastvaretjeneste).

Bekreft hvilken nøkkel mellomleggsplaten din er signert med (krever pesign-pakken):

sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi

Til slutt er det verdt å nevne at Fedora-utviklerne har utstedt en advarsel:

Ikke forsøk å oppdatere databasen manuelt med mindre du er ekspert, og du bør under ingen omstendigheter slette eller tilbakekalle 2011-nøkkelen. Denne nøkkelen har ikke blitt kompromittert og brukes fortsatt til å validere ROM-ene i eksterne enheter (tilleggs-ROM-er). Sletting av den risikerer å føre til funksjonsfeil i maskinvarekomponenter og forhindre at systemet starter opp dobbeltsignaturversjonen av shimen.

Hvis du er interessert i å lære mer, finner du detaljene på følgende lenke.


Legg til som foretrukket kilde i Google