เมื่อไม่กี่วันที่ผ่านมา มีข่าวว่าในปลายเดือนนี้ (มิถุนายน 2026) ใบรับรองของ Microsoft ที่ใช้ในการลงนามดิจิทัลสำหรับเลเยอร์ shim ของ Linux จะหมดอายุลงเนื่องจากนี่คือส่วนประกอบสำคัญที่ช่วยให้ระบบปฏิบัติการ Linux รุ่นใหม่ๆ (เช่น Fedora, Ubuntu และ openSUSE) สามารถบูตบนระบบที่มีการเปิดใช้งาน UEFI Secure Boot ได้ จึงเป็นเรื่องที่เข้าใจได้ว่าข่าวนี้ทำให้เกิดความกังวลขึ้น อย่างไรก็ตาม นักพัฒนา Fedora ได้ชี้แจงอย่างชัดเจนแล้วว่า ไม่ต้องกังวล คอมพิวเตอร์ของคุณจะยังคงบูตได้ตามปกติ
เพื่อให้เข้าใจว่าทำไมระบบ Linux จะไม่ปิดตัวลงอย่างเป็นวงกว้าง จำเป็นต้องเข้าใจวิธีการทำงานของห่วงโซ่ความเชื่อถือ ในระหว่างกระบวนการบูตระบบ UEFI จะไม่ตรวจสอบว่าใบรับรองหมดอายุหรือไม่เนื่องจากสิ่งที่ระบบให้ความสำคัญเพียงอย่างเดียวคือการตรวจสอบว่าลายเซ็นการเข้ารหัสถูกต้องและคีย์ไม่ได้ถูกเพิกถอนอย่างชัดเจนเนื่องจากการถูกบุกรุก การหมดอายุของใบรับรองปี 2011 หมายความว่า Microsoft จะไม่สามารถใช้ใบรับรองนั้นในการลงนามเวอร์ชันใหม่ของบูตโหลดเดอร์ได้อีกต่อไป
การเปลี่ยนไปใช้คีย์ใหม่ประจำปี 2023
เพื่อรักษาความเข้ากันได้และเพื่อให้แน่ใจว่าระบบ Linux สามารถติดตั้งบนฮาร์ดแวร์ที่ทันสมัยได้ไมโครซอฟต์จึงสร้างใบรับรองใหม่ในปี 2023การเปลี่ยนไปใช้คีย์ใหม่นี้ได้รับการออกแบบมาให้ผู้ใช้มองไม่เห็นการเปลี่ยนแปลงใดๆ เลย
ปัจจุบันคลังซอฟต์แวร์อย่าง Fedora Rawhide (ซึ่งเป็นพื้นฐานของ Fedora 45 ที่กำลังจะมาถึง) มีตัวจัดการบูตแบบ shim ที่ลงนามคู่แล้วหมายความว่าได้รับการรับรองจากทั้งคีย์ปี 2011 และ 2023 ทำให้มั่นใจได้ถึงความเข้ากันได้กับทั้งคอมพิวเตอร์รุ่นเก่าที่ไม่รู้จักคีย์ใหม่ และเมนบอร์ดรุ่นใหม่ที่มีการติดตั้งไว้ล่วงหน้าแล้ว ในอนาคต เวอร์ชันของ shim จะได้รับการลงนามด้วยคีย์ปี 2023 เพียงอย่างเดียว
ช่องโหว่ที่แท้จริง: อันตรายอยู่ที่โค้ดเก่า
สิ่งที่อาจขัดขวางการบูตระบบได้จริง ๆ ไม่ใช่การหมดอายุ แต่เป็นการเพิกถอนผ่านรายการเพิกถอนใบรับรอง UEFI (หรือที่รู้จักกันในชื่อ DBX) รายงานด้านความปลอดภัยที่เผยแพร่เมื่อเร็ว ๆ นี้ได้ระบุถึงช่องโหว่ที่สำคัญสองรายการ (CVE-2026-8863 และ CVE-2026-10797) ซึ่งอนุญาตให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายได้โดยการหลีกเลี่ยงการป้องกัน Secure Boot
โชคดีที่ช่องโหว่เหล่านี้ส่งผลกระทบเฉพาะเวอร์ชันเก่ามากของชิม (เวอร์ชัน 0.9 และก่อนหน้านั้น ที่สร้างขึ้นก่อนปี 2016) ลายเซ็นของเลเยอร์ที่มีช่องโหว่เหล่านี้ได้ถูกเพิ่มเข้าไปในฐานข้อมูลลายเซ็นต้องห้าม (DBX) แล้วหากคุณใช้ระบบที่ล้าสมัยมาก (เช่น CentOS 7.2 หรือ RHEL 7.2) และฐานข้อมูล UEFI ของคุณได้รับการอัปเดตแล้ว คอมพิวเตอร์ของคุณจะไม่สามารถบูตได้ด้วยเหตุผลด้านความปลอดภัย
คุณควรทำอะไร (และคุณไม่ควรทำอะไรบ้าง)?
แม้ว่าการหมดอายุจะไม่ทำให้ระบบปัจจุบันของคุณเสียหาย แต่ผู้พัฒนาขอแนะนำอย่างยิ่งให้คุณอัปเดตฐานข้อมูลคีย์เฟิร์มแวร์เพื่อรับคีย์ใหม่ปี 2023 และเตรียมพร้อมสำหรับอนาคตคำสั่งต่อไปนี้ใช้สำหรับตรวจสอบสถานะของอุปกรณ์ของคุณ:
ตรวจสอบว่าคุณใช้ UEFI หรือ BIOS (แบบดั้งเดิม):
[[ -d /sys/firmware/efi ]] || echo BIOS
ตรวจสอบว่าเปิดใช้งาน Secure Boot แล้วหรือไม่:
mokutil --sb-state
แสดงรายการคีย์สาธารณะในเฟิร์มแวร์:
mokutil --db --short (ตรงนี้คุณจะเห็นรหัสผลิตภัณฑ์ปี 2011 และหากคุณอัปเดตแล้ว คุณจะเห็นรหัสผลิตภัณฑ์ปี 2023 ด้วย)
อัปเดตเฟิร์มแวร์และคีย์ของคุณโดยอัตโนมัติ:
sudo fwupdmgr update (ดาวน์โหลดการอัปเดตจากบริการเฟิร์มแวร์ของผู้จำหน่าย Linux)
ตรวจสอบว่าแผ่นชิมของคุณลงนามด้วยคีย์ใด (ต้องใช้แพ็คเกจ pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
สุดท้ายนี้ ควรกล่าวถึงว่านักพัฒนา Fedora ได้ออกคำเตือนไว้ด้วย:
หากคุณสนใจเรียนรู้เพิ่มเติม สามารถดูรายละเอียดได้ที่ลิงก์ต่อไปนี้