Pred nekaj dnevi je prišla novica, da bo konec tega meseca (junija 2026) potekel rok veljavnosti Microsoftovega potrdila, ki se uporablja za digitalno podpisovanje sloja Linux shim. Ker je to bistvena komponenta, ki omogoča sodobnim distribucijam Linuxa (kot so Fedora, Ubuntu in openSUSE) zagon v sistemih z omogočenim varnim zagonom UEFI, je razumljivo, da je novica povzročila nekaj skrbi. Vendar so bili razvijalci Fedore glede tega zelo jasni: ni razloga za paniko; vaš računalnik se bo še naprej normalno zaganjal.
Da bi razumeli, zakaj ne bo prišlo do množičnega zaprtja Linuxa, je treba razumeti, kako deluje veriga zaupanja. Med zagonom sistem UEFI ne preverja, ali je potrdilo poteklo, saj je njegova edina skrb preverjanje veljavnosti kriptografskega podpisa in ali ključ ni bil izrecno preklican zaradi vdora. Potekanje potrdila iz leta 2011 preprosto pomeni, da ga Microsoft ne bo mogel več uporabljati za podpisovanje novih različic zagonskega nalagalnika.
Prehod na novi ključ iz leta 2023
Za ohranitev združljivosti in zagotovitev namestitve sistemov Linux na sodobno strojno opremo je Microsoft leta 2023 ustvaril novo potrdilo . Prehod na ta novi ključ je zasnovan tako, da je za uporabnika popolnoma neviden.
Trenutno repozitoriji, kot je Fedora Rawhide (osnova za prihajajočo Fedoro 45), že vključujejo zagonski upravljalnik z dvojnim podpisom shim . To pomeni, da je certificiran s ključema 2011 in 2023, kar zagotavlja združljivost tako s starejšimi računalniki, ki ne poznajo novega ključa, kot s sodobnimi matičnimi ploščami, ki ga že imajo prednameščen. Sčasoma bodo prihodnje različice shim podpisane izključno s ključem 2023.
Resnične ranljivosti: Nevarnost se skriva v stari kodi
Kar lahko dejansko prepreči zagon sistema, ni poteče veljavnost, temveč preklic prek seznama preklicanih potrdil UEFI (znanega kot DBX). Nedavno objavljena varnostna poročila podrobno opisujejo dve kritični ranljivosti (CVE-2026-8863 in CVE-2026-10797), ki napadalcu omogočata izvajanje zlonamerne kode z zaobilaženjem zaščite Secure Boot.
Na srečo te ranljivosti vplivajo le na izjemno stare različice modula shim (različica 0.9 in starejše, ustvarjene pred letom 2016). Podpisi teh ranljivih slojev so bili dodani v bazo podatkov prepovedanih podpisov (DBX). Če imate zelo zastarel sistem (kot je CentOS 7.2 ali RHEL 7.2) in je vaša baza podatkov UEFI posodobljena, se vaš računalnik zaradi varnostnih razlogov ne bo zagnal.
Kaj bi morali storiti (in česa NE bi smeli storiti)?
Čeprav potekel rok ne bo pokvaril vašega trenutnega sistema, razvijalci toplo priporočajo posodobitev baze podatkov ključev vdelane programske opreme , da prejmete nov ključ 2023 in ste pripravljeni na prihodnost. Tukaj so ukazi za preverjanje stanja vaše naprave:
Preverite, ali uporabljate UEFI ali BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Preverite, ali je omogočen Secure Boot:
mokutil --sb-state
Naštejte javne ključe v vdelani programski opremi:
mokutil --db --short (Tukaj bi morali videti ključ za leto 2011 in, če imate posodobljeno različico, ključ za leto 2023).
Samodejno posodobite vdelano programsko opremo in ključe:
sudo fwupdmgr update (Prenesite posodobitve iz storitve vdelane programske opreme proizvajalca Linuxa).
Preverite, s katerim ključem je podpisan vaš shim (zahteva paket pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Na koncu velja omeniti, da so razvijalci Fedore izdali opozorilo:
Če vas zanima več informacij, lahko podrobnosti najdete na naslednji povezavi.