Пре неколико дана, појавила се вест да ће крајем овог месеца (јун 2026.) истићи Мајкрософтов сертификат који се користи за дигитално потписивање Линукс шим слоја. Пошто је ово суштинска компонента која омогућава модерним Линукс дистрибуцијама (као што су Федора, Убунту и ОпенСУСЕ) да се покрећу на системима са омогућеним УЕФИ Сецуре Боот-ом, разумљиво је да је вест изазвала извесну забринутост. Међутим, програмери Федоре су били веома јасни по том питању: нема разлога за панику; ваш рачунар ће наставити да се нормално покреће.
Да бисмо разумели зашто неће доћи до масовног гашења Линукса, неопходно је разумети како функционише ланац поверења. Током процеса покретања система, UEFI систем не проверава да ли је сертификат истекао, јер је његова једина брига да провери да ли је криптографски потпис важећи и да ли кључ није експлицитно опозван због компромитовања. Истек сертификата из 2011. године једноставно значи да га Мајкрософт више неће моћи користити за потписивање нових верзија покретачког програма.
Прелазак на нови кључ из 2023. године
Да би одржао компатибилност и осигурао да се Linux системи могу инсталирати на модерни хардвер, Microsoft је 2023. године генерисао нови сертификат. Прелазак на овај нови кључ је дизајниран тако да буде потпуно невидљив за корисника.
Тренутно, репозиторијуми попут Fedora Rawhide (основе за предстојећу Fedora 45) већ укључују двоструко потписан shim boot manager . То значи да је сертификован и кључевима 2011 и 2023, што обезбеђује компатибилност и са старијим рачунарима који не познају нови кључ и са модерним матичним плочама које га већ имају унапред инсталиран. На крају, будуће верзије shim-а ће бити потписане искључиво кључем 2023.
Праве рањивости: Опасност лежи у старом коду
Оно што заправо може спречити покретање система није истека рока важења, већ опозива путем UEFI листе опозива сертификата (познате као DBX). Недавно објављени извештаји о безбедности детаљно описују две критичне рањивости (CVE-2026-8863 и CVE-2026-10797) које омогућавају нападачу да изврши злонамерни код заобилазећи заштиту Secure Boot.
Срећом, ове рањивости утичу само на изузетно старе верзије шим-а (верзија 0.9 и старије, креиране пре 2016. године). Потписи ових рањивих слојева су додати у базу података забрањених потписа (DBX). Ако имате веома застарели систем (као што је CentOS 7.2 или RHEL 7.2) и ваша UEFI база података је ажурирана, ваш рачунар се неће покренути из безбедносних разлога.
Шта треба да урадите (а шта НЕ треба да урадите)?
Иако истек рока неће покварити ваш тренутни систем, програмери топло препоручују ажурирање базе података кључева вашег фирмвера како бисте добили нови кључ из 2023. године и били спремни за будућност. Ево команди за проверу статуса вашег уређаја:
Проверите да ли користите UEFI или BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Проверите да ли је омогућено безбедно покретање (Secure Boot):
mokutil --sb-state
Наведите јавне кључеве у фирмверу:
mokutil --db --short (Овде би требало да видите кључ из 2011. и, ако сте ажурирани, кључ из 2023. године).
Аутоматски ажурирајте фирмвер и кључеве:
sudo fwupdmgr update (Преузмите ажурирања са сервиса фирмвера произвођача Линукса).
Проверите којим кључем је потписан ваш шим (потребан је пакет design):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
На крају, вреди поменути да су програмери Федоре издали упозорење:
Ако сте заинтересовани да сазнате више, детаље можете пронаћи на следећем линку.