Kilka dni temu pojawiła się wiadomość, że pod koniec tego miesiąca (czerwiec 2026 r.) certyfikat Microsoftu używany do cyfrowego podpisywania warstwy shim systemu Linux osiągnie datę ważności. Ponieważ jest to kluczowy komponent umożliwiający uruchamianie nowoczesnych dystrybucji Linuksa (takich jak Fedora, Ubuntu i openSUSE) na komputerach z włączoną funkcją UEFI Secure Boot, zrozumiałe jest, że wiadomość ta wzbudziła pewne obawy. Twórcy Fedory jasno jednak wyjaśnili tę kwestię: nie ma powodu do paniki; komputer będzie się uruchamiał normalnie.
Aby zrozumieć, dlaczego nie dojdzie do masowego wyłączenia Linuksa, konieczne jest zrozumienie, jak działa łańcuch zaufania. Podczas procesu rozruchu system UEFI nie sprawdza, czy certyfikat wygasł, ponieważ jego jedynym celem jest weryfikacja ważności podpisu kryptograficznego i tego, czy klucz nie został jawnie unieważniony z powodu naruszenia bezpieczeństwa. Wygaśnięcie certyfikatu z 2011 roku oznacza po prostu, że Microsoft nie będzie mógł go już używać do podpisywania nowych wersji bootloadera.
Przejście na nowy klucz 2023
Aby zachować kompatybilność i zagwarantować możliwość instalacji systemów Linux na nowoczesnym sprzęcie, firma Microsoft wygenerowała w 2023 roku nowy certyfikat. Przejście na ten nowy klucz zostało zaprojektowane tak, aby było całkowicie niewidoczne dla użytkownika.
Obecnie repozytoria takie jak Fedora Rawhide (podstawa nadchodzącej Fedory 45) zawierają już podwójnie podpisany menedżer rozruchu shim . Oznacza to, że jest on certyfikowany kluczami 2011 i 2023, co zapewnia kompatybilność zarówno ze starszymi komputerami, które nie obsługują nowego klucza, jak i z nowoczesnymi płytami głównymi, na których jest on już preinstalowany. Docelowo przyszłe wersje shim będą podpisywane wyłącznie kluczem 2023.
Prawdziwe luki w zabezpieczeniach: Niebezpieczeństwo tkwi w starym kodzie
Tym, co faktycznie może uniemożliwić uruchomienie systemu, nie jest wygaśnięcie certyfikatu, lecz jego unieważnienie za pośrednictwem listy odwołanych certyfikatów UEFI (znanej jako DBX). Niedawno opublikowane raporty bezpieczeństwa szczegółowo opisują dwie krytyczne luki w zabezpieczeniach (CVE-2026-8863 i CVE-2026-10797), które umożliwiają atakującemu wykonanie złośliwego kodu poprzez ominięcie ochrony Secure Boot.
Na szczęście te luki dotyczą tylko bardzo starych wersji shim (wersja 0.9 i starsze, utworzone przed 2016 rokiem). Sygnatury tych podatnych warstw zostały dodane do bazy danych zabronionych sygnatur (DBX). Jeśli masz bardzo przestarzały system (taki jak CentOS 7.2 lub RHEL 7.2) i Twoja baza danych UEFI jest zaktualizowana, komputer nie uruchomi się ze względów bezpieczeństwa.
Co powinieneś zrobić (a czego NIE powinieneś robić)?
Chociaż wygaśnięcie nie spowoduje awarii obecnego systemu, twórcy oprogramowania zdecydowanie zalecają aktualizację bazy kluczy oprogramowania układowego , aby otrzymać nowy klucz 2023 i zabezpieczyć się na przyszłość. Oto polecenia do sprawdzenia statusu urządzenia:
Sprawdź, czy używasz UEFI czy BIOS-u (starszej wersji):
[[ -d /sys/firmware/efi ]] || echo BIOS
Sprawdź, czy funkcja Bezpieczny rozruch jest włączona:
mokutil --sb-state
Wypisz klucze publiczne w oprogramowaniu sprzętowym:
mokutil --db --short (Tutaj powinieneś zobaczyć klucz z 2011 r., a jeśli jesteś na bieżąco, także z 2023 r.).
Automatyczna aktualizacja oprogramowania sprzętowego i kluczy:
sudo fwupdmgr update (Pobierz aktualizacje z serwisu Linux Vendor Firmware Service).
Sprawdź, jakim kluczem podpisana jest Twoja podkładka (wymagany jest pakiet pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Na koniec warto wspomnieć, że twórcy Fedory wydali ostrzeżenie:
Jeśli chcesz dowiedzieć się więcej, szczegóły znajdziesz pod poniższym linkiem.