Pred pár dňami sa objavila správa, že koncom tohto mesiaca (jún 2026) vyprší platnosť certifikátu spoločnosti Microsoft, ktorý sa používa na digitálne podpisovanie vrstvy Linux shim. Keďže ide o základný komponent, ktorý umožňuje moderným distribúciám Linuxu (ako Fedora, Ubuntu a openSUSE) bootovať na systémoch s povoleným UEFI Secure Boot, je pochopiteľné, že táto správa vyvolala určité obavy. Vývojári Fedory sa však v tejto veci vyjadrili jasne: nie je dôvod na paniku; váš počítač sa bude naďalej normálne bootovať.
Aby sme pochopili, prečo nedôjde k masívnemu vypnutiu Linuxu, je potrebné pochopiť, ako funguje reťazec dôvery. Počas procesu zavádzania systém UEFI nekontroluje, či certifikátu uplynula platnosť, pretože jeho jedinou úlohou je overiť, či je kryptografický podpis platný a či kľúč nebol explicitne zrušený z dôvodu kompromitácie. Vypršanie platnosti certifikátu z roku 2011 jednoducho znamená, že spoločnosť Microsoft ho už nebude môcť použiť na podpisovanie nových verzií bootloaderu.
Prechod na nový kľúč z roku 2023
Aby sa zachovala kompatibilita a zabezpečila sa možnosť inštalácie systémov Linux na moderný hardvér, spoločnosť Microsoft v roku 2023 vygenerovala nový certifikát. Prechod na tento nový kľúč bol navrhnutý tak, aby bol pre používateľa úplne neviditeľný.
V súčasnosti repozitáre ako Fedora Rawhide (základ pre pripravovanú Fedoru 45) už obsahujú správcu zavádzania shim s dvojitým podpisom . To znamená, že je certifikovaný kľúčmi 2011 aj 2023, čo zabezpečuje kompatibilitu so staršími počítačmi, ktoré nový kľúč nepoznajú, aj s modernými základnými doskami, ktoré ho už majú predinštalovaný. Budúce verzie shim budú nakoniec podpísané výlučne kľúčom 2023.
Skutočné zraniteľnosti: Nebezpečenstvo spočíva v starom kóde
Spusteniu systému v skutočnosti nemôže zabrániť expirácia, ale zrušenie prostredníctvom zoznamu zrušených certifikátov UEFI (známeho ako DBX). Nedávno boli publikované bezpečnostné správy s podrobnosťami o dvoch kritických zraniteľnostiach (CVE-2026-8863 a CVE-2026-10797), ktoré útočníkovi umožňujú spustiť škodlivý kód obídením ochrany Secure Boot.
Našťastie tieto zraniteľnosti postihujú iba extrémne staré verzie shim (verzia 0.9 a staršie, vytvorené pred rokom 2016). Podpisy týchto zraniteľných vrstiev boli pridané do databázy zakázaných podpisov (DBX). Ak máte veľmi zastaraný systém (napríklad CentOS 7.2 alebo RHEL 7.2) a vaša databáza UEFI je aktualizovaná, váš počítač sa z bezpečnostných dôvodov nepodarí spustiť.
Čo by ste mali robiť (a čo by ste NEMALI robiť)?
Hoci vypršanie platnosti nezruinuje váš súčasný systém, vývojári dôrazne odporúčajú aktualizovať databázu kľúčov firmvéru , aby ste získali nový kľúč 2023 a boli pripravení na budúcnosť. Tu sú príkazy na kontrolu stavu vášho zariadenia:
Skontrolujte, či používate UEFI alebo BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Skontrolujte, či je povolené zabezpečené spustenie:
mokutil --sb-state
Vypíšte verejné kľúče vo firmvéri:
mokutil --db --short (Tu by ste mali vidieť kľúč z roku 2011 a ak máte aktuálnu verziu, aj kľúč z roku 2023).
Automaticky aktualizujte firmvér a kľúče:
sudo fwupdmgr update (Stiahnite si aktualizácie zo služby firmvéru dodávateľa systému Linux).
Overte, ktorým kľúčom je váš shim podpísaný (vyžaduje sa balík pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Na záver stojí za zmienku, že vývojári Fedory vydali varovanie:
Ak máte záujem dozvedieť sa viac, podrobnosti nájdete na nasledujúcom odkaze.