Несколько дней назад появилась новость о том, что в конце этого месяца (июнь 2026 года) истечёт срок действия сертификата Microsoft, используемого для цифровой подписи слоя-заглушки Linux. Поскольку это важнейший компонент, позволяющий современным дистрибутивам Linux (таким как Fedora, Ubuntu и openSUSE) загружаться на системах с включенной функцией UEFI Secure Boot, понятно, что эта новость вызвала некоторые опасения. Однако разработчики Fedora очень чётко заявили по этому поводу: нет причин для паники; ваш компьютер продолжит загружаться в обычном режиме.
Чтобы понять, почему не произойдёт массового отключения Linux, необходимо разобраться в принципах работы цепочки доверия. В процессе загрузки система UEFI не проверяет, истёк ли срок действия сертификата, поскольку её единственная задача — убедиться в действительности криптографической подписи и в том, что ключ не был явно отозван из-за компрометации. Истечение срока действия сертификата 2011 года просто означает, что Microsoft больше не сможет использовать его для подписи новых версий загрузчика.
Переход к новому ключу 2023 года
Для обеспечения совместимости и возможности установки систем Linux на современное оборудование, Microsoft в 2023 году сгенерировала новый сертификат. Переход на этот новый ключ разработан таким образом, чтобы быть совершенно незаметным для пользователя.
В настоящее время такие репозитории, как Fedora Rawhide (основа для грядущей Fedora 45), уже включают в себя менеджер загрузки с двойной подписью . Это означает, что он сертифицирован как ключом 2011, так и ключом 2023, что обеспечивает совместимость как со старыми компьютерами, которые не поддерживают новый ключ, так и с современными материнскими платами, на которых он уже предустановлен. В будущем версии менеджера загрузки будут подписываться исключительно ключом 2023.
Реальные уязвимости: опасность кроется в старом коде.
На самом деле, препятствием для загрузки системы может быть не истечение срока действия сертификата, а его аннулирование через список аннулированных сертификатов UEFI (известный как DBX). В недавно опубликованных отчетах по безопасности подробно описаны две критические уязвимости (CVE-2026-8863 и CVE-2026-10797), которые позволяют злоумышленнику выполнять вредоносный код, обходя защиту Secure Boot.
К счастью, эти уязвимости затрагивают только крайне старые версии вспомогательного программного обеспечения (версии 0.9 и более ранние, созданные до 2016 года). Сигнатуры этих уязвимых слоев были добавлены в базу данных запрещенных сигнатур (DBX). Если у вас очень устаревшая система (например, CentOS 7.2 или RHEL 7.2) и ваша база данных UEFI обновлена, ваш компьютер не сможет загрузиться по соображениям безопасности.
Что следует делать (и чего делать НЕ следует)?
Хотя истечение срока действия не нарушит работу вашей текущей системы, разработчики настоятельно рекомендуют обновить базу данных ключей вашей прошивки , чтобы получить новый ключ 2023 года и обеспечить совместимость с будущими версиями. Вот команды для проверки состояния вашего устройства:
Проверьте, используете ли вы UEFI или BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Проверьте, включена ли функция Secure Boot:
mokutil --sb-state
Перечислите открытые ключи в прошивке:
mokutil --db --short (Здесь вы должны увидеть ключ 2011 года и, если у вас установлена актуальная версия, ключ 2023 года).
Автоматическое обновление прошивки и ключей:
sudo fwupdmgr update (Загрузите обновления через службу обновления микропрограмм Linux от производителя).
Проверьте, каким ключом подписан ваш заглушечный модуль (требуется пакет pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Наконец, стоит упомянуть, что разработчики Fedora выпустили предупреждение:
Если вас заинтересовала более подробная информация, вы можете найти ее по следующей ссылке.