Acum câteva zile, a apărut vestea că la sfârșitul acestei luni (iunie 2026), certificatul Microsoft folosit pentru semnarea digitală a stratului shim Linux va ajunge la data expirării. Întrucât aceasta este componenta esențială ce permite distribuțiilor Linux moderne (cum ar fi Fedora, Ubuntu și openSUSE) să pornească pe sisteme cu UEFI Secure Boot activat, este de înțeles că vestea a stârnit unele îngrijorări. Cu toate acestea, dezvoltatorii Fedora au fost foarte clari în această privință: nu există niciun motiv de panică; computerul va continua să pornească normal.
Pentru a înțelege de ce nu va exista o închidere masivă a sistemului Linux, este necesar să înțelegem cum funcționează lanțul de încredere. În timpul procesului de pornire, sistemul UEFI nu verifică dacă certificatul a expirat, deoarece singura sa preocupare este să verifice dacă semnătura criptografică este validă și că cheia nu a fost revocată explicit din cauza compromiterii. Expirarea certificatului din 2011 înseamnă pur și simplu că Microsoft nu va mai putea să îl utilizeze pentru a semna noi versiuni ale bootloader-ului.
Tranziția la noua cheie din 2023
Pentru a menține compatibilitatea și a asigura instalarea sistemelor Linux pe hardware modern, Microsoft a generat un nou certificat în 2023. Tranziția către această nouă cheie a fost concepută astfel încât să fie complet invizibilă pentru utilizator.
În prezent, repozitorii precum Fedora Rawhide (baza pentru viitoarea versiune Fedora 45) includ deja un manager de boot shim cu semnătură duală . Aceasta înseamnă că este certificat atât pentru cheile 2011, cât și pentru cele 2023, asigurând compatibilitatea atât cu computerele mai vechi care nu cunosc noua cheie, cât și cu plăcile de bază moderne care o au deja preinstalată. În cele din urmă, versiunile viitoare ale shim-ului vor fi semnate exclusiv cu cheia 2023.
Vulnerabilități reale: Pericolul constă în codul vechi
Ceea ce poate împiedica de fapt pornirea unui sistem nu este expirarea, ci revocarea prin intermediul Listei de revocare a certificatelor UEFI (cunoscută sub numele de DBX). Rapoarte de securitate publicate recent detaliază două vulnerabilități critice (CVE-2026-8863 și CVE-2026-10797) care permit unui atacator să execute cod rău intenționat ocolind protecția Secure Boot.
Din fericire, aceste vulnerabilități afectează doar versiunile extrem de vechi ale shim-ului (versiunea 0.9 și anterioare, create înainte de 2016). Semnăturile acestor straturi vulnerabile au fost adăugate în baza de date a semnăturilor interzise (DBX). Dacă aveți un sistem foarte învechit (cum ar fi CentOS 7.2 sau RHEL 7.2) și baza de date UEFI este actualizată, computerul dvs. nu va putea porni din motive de securitate.
Ce ar trebui să faci (și ce NU ar trebui să faci)?
Deși expirarea nu va afecta sistemul actual, dezvoltatorii recomandă insistent actualizarea bazei de date cu chei a firmware-ului pentru a primi noua cheie din 2023 și a fi pregătit pentru viitor. Iată comenzile pentru a verifica starea dispozitivului:
Verificați dacă utilizați UEFI sau BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Verificați dacă este activată Secure Boot:
mokutil --sb-state
Enumerați cheile publice din firmware:
mokutil --db --short (Aici ar trebui să vedeți cheia din 2011 și, dacă sunteți la curent, cheia din 2023).
Actualizați automat firmware-ul și cheile:
sudo fwupdmgr update (Descărcați actualizări de la serviciul de firmware al furnizorului de Linux).
Verificați cu ce cheie este semnat shim-ul dvs. (necesită pachetul pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
În cele din urmă, merită menționat faptul că dezvoltatorii Fedora au emis un avertisment:
Dacă sunteți interesați să aflați mai multe, puteți găsi detalii la linkul următor.