För några dagar sedan kom nyheten att Microsoft-certifikatet som används för att digitalt signera Linux shim-lagret kommer att gå ut i slutet av denna månad (juni 2026) . Eftersom detta är den viktiga komponenten som gör att moderna Linux-distributioner (som Fedora, Ubuntu och openSUSE) kan starta på system med UEFI Secure Boot aktiverat, är det förståeligt att nyheten har väckt viss oro. Fedora-utvecklarna har dock varit mycket tydliga i frågan: det finns ingen anledning till panik; din dator kommer att fortsätta starta normalt.
För att förstå varför det inte blir en massiv Linux-nedstängning är det nödvändigt att förstå hur förtroendekedjan fungerar. Under uppstartsprocessen kontrollerar inte UEFI-systemet om certifikatet har gått ut, eftersom dess enda syfte är att verifiera att den kryptografiska signaturen är giltig och att nyckeln inte uttryckligen har återkallats på grund av kompromettering. Att 2011 års certifikat går ut innebär helt enkelt att Microsoft inte längre kommer att kunna använda det för att signera nya versioner av bootloadern.
Övergången till den nya nyckeln från 2023
För att upprätthålla kompatibilitet och säkerställa att Linux-system kan installeras på modern hårdvara genererade Microsoft ett nytt certifikat 2023. Övergången till denna nya nyckel har utformats för att vara helt osynlig för användaren.
För närvarande inkluderar repositories som Fedora Rawhide (basen för den kommande Fedora 45) redan en dubbelsignerad shim-starthanterare . Det betyder att den är certifierad med både 2011- och 2023-nycklarna, vilket säkerställer kompatibilitet med både äldre datorer som inte känner till den nya nyckeln och moderna moderkort som redan har den förinstallerad. Så småningom kommer framtida versioner av shim-modulen att signeras exklusivt med 2023-nyckeln.
Verkliga sårbarheter: Faran ligger i den gamla koden
Det som faktiskt kan förhindra att ett system startar är inte utgångsdatumet, utan återkallelse via UEFI-certifikatåterkallningslistan (känd som DBX). Säkerhetsrapporter som nyligen publicerats och beskriver två kritiska sårbarheter (CVE-2026-8863 och CVE-2026-10797) som gör det möjligt för en angripare att köra skadlig kod genom att kringgå säker start.
Lyckligtvis påverkar dessa sårbarheter endast extremt gamla versioner av shim-skivan (version 0.9 och tidigare, skapade före 2016). Signaturerna för dessa sårbara lager har lagts till i databasen över förbjudna signaturer (DBX). Om du har ett mycket föråldrat system (som CentOS 7.2 eller RHEL 7.2) och din UEFI-databas är uppdaterad kommer din dator inte att starta av säkerhetsskäl.
Vad bör du göra (och vad bör du INTE göra)?
Även om utgångsdatumet inte kommer att förstöra ditt nuvarande system, rekommenderar utvecklarna starkt att du uppdaterar din firmwares nyckeldatabas för att få den nya 2023-nyckeln och vara framtidssäkrad. Här är kommandona för att kontrollera din enhets status:
Kontrollera om du använder UEFI eller BIOS (äldre):
[[ -d /sys/firmware/efi ]] || echo BIOS
Kontrollera om säker start är aktiverad:
mokutil --sb-state
Lista de publika nycklarna i firmware:
mokutil --db --short (Här bör du se nyckeln från 2011 och, om du är uppdaterad, nyckeln från 2023).
Uppdatera din firmware och nycklar automatiskt:
sudo fwupdmgr update (Ladda ner uppdateringar från Linux Vendor Firmware Service).
Kontrollera vilken nyckel din shim är signerad med (kräver pesign-paketet):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Slutligen är det värt att nämna att Fedora-utvecklarna har utfärdat en varning:
Om du är intresserad av att lära dig mer kan du hitta detaljerna på följande länk.