Disa ditë më parë, u përhap lajmi se në fund të këtij muaji (qershor 2026), certifikata e Microsoft-it e përdorur për të nënshkruar në mënyrë dixhitale shtresën shim të Linux-it do të arrijë datën e skadimit. Meqenëse ky është komponenti thelbësor që lejon shpërndarjet moderne të Linux-it (si Fedora, Ubuntu dhe openSUSE) të nisen në sisteme me UEFI Secure Boot të aktivizuar, është e kuptueshme që lajmi ka ngritur disa shqetësime. Megjithatë, zhvilluesit e Fedora-s kanë qenë shumë të qartë për këtë çështje: nuk ka arsye për panik; kompjuteri juaj do të vazhdojë të niset normalisht.
Për të kuptuar pse nuk do të ketë një mbyllje masive të Linux-it, është e nevojshme të kuptohet se si funksionon zinxhiri i besimit. Gjatë procesit të nisjes, sistemi UEFI nuk kontrollon nëse certifikata ka skaduar, pasi shqetësimi i tij i vetëm është të verifikojë nëse nënshkrimi kriptografik është i vlefshëm dhe se çelësi nuk është revokuar në mënyrë të qartë për shkak të kompromentimit. Skadimi i certifikatës së vitit 2011 thjesht do të thotë se Microsoft nuk do të jetë më në gjendje ta përdorë atë për të nënshkruar versione të reja të ngarkuesit të nisjes.
Kalimi në çelësin e ri të vitit 2023
Për të ruajtur përputhshmërinë dhe për të siguruar që sistemet Linux mund të instalohen në pajisje moderne, Microsoft gjeneroi një certifikatë të re në vitin 2023. Kalimi në këtë çelës të ri është projektuar të jetë plotësisht i padukshëm për përdoruesin.
Aktualisht, depo si Fedora Rawhide (baza për Fedora 45 që do të dalë së shpejti) përfshijnë tashmë një menaxher nisjeje shim me nënshkrim të dyfishtë . Kjo do të thotë se është i certifikuar nga të dy çelësat 2011 dhe 2023, duke siguruar përputhshmëri si me kompjuterët e vjetër që nuk e njohin çelësin e ri, ashtu edhe me motherboard-et moderne që e kanë tashmë të parainstaluar. Përfundimisht, versionet e ardhshme të shim do të nënshkruhen ekskluzivisht me çelësin 2023.
Dobësitë reale: Rreziku qëndron në kodin e vjetër
Ajo që në fakt mund ta pengojë një sistem të niset nuk është skadimi, por revokimi nëpërmjet Listës së Revokimit të Certifikatave UEFI (e njohur si DBX). Raportet e sigurisë të publikuara së fundmi detajojnë dy dobësi kritike (CVE-2026-8863 dhe CVE-2026-10797) që i lejojnë një sulmuesi të ekzekutojë kod dashakeq duke anashkaluar mbrojtjen e Secure Boot.
Për fat të mirë, këto dobësi ndikojnë vetëm në versionet jashtëzakonisht të vjetra të shim (versioni 0.9 dhe më të hershëm, të krijuar para vitit 2016). Nënshkrimet e këtyre shtresave të cenueshme janë shtuar në bazën e të dhënave të nënshkrimeve të ndaluara (DBX). Nëse keni një sistem shumë të vjetëruar (siç është CentOS 7.2 ose RHEL 7.2) dhe baza e të dhënave UEFI është e përditësuar, kompjuteri juaj nuk do të niset për arsye sigurie.
Çfarë duhet të bësh (dhe çfarë NUK duhet të bësh)?
Edhe pse skadimi nuk do ta prishë sistemin tuaj aktual, zhvilluesit rekomandojnë fuqimisht përditësimin e bazës së të dhënave të çelësave të firmware-it tuaj për të marrë çelësin e ri të vitit 2023 dhe për të qenë i përgatitur për të ardhmen. Ja komandat për të kontrolluar statusin e pajisjes suaj:
Kontrolloni nëse po përdorni UEFI ose BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Kontrolloni nëse Secure Boot është aktivizuar:
mokutil --sb-state
Renditni çelësat publikë në firmware:
mokutil --db --short (Këtu duhet të shihni çelësin 2011 dhe, nëse e keni të azhurnuar, çelësin 2023).
Përditësoni automatikisht firmware-in dhe çelësat tuaj:
sudo fwupdmgr update (Shkarkoni përditësimet nga Shërbimi i Firmware-it të Furnizuesit të Linux-it).
Verifikoni me cilin çelës është nënshkruar shim-i juaj (kërkohet paketa pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Së fundmi, ia vlen të përmendet se zhvilluesit e Fedora-s kanë lëshuar një paralajmërim:
Nëse jeni të interesuar të mësoni më shumë, mund t’i gjeni detajet në lidhjen e mëposhtme.