Ilang araw na ang nakalipas, lumabas ang balita na sa katapusan ng buwang ito (Hunyo 2026), ang sertipiko ng Microsoft na ginagamit sa digital na pagpirma sa Linux shim layer ay aabot sa expiration date nito. Dahil ito ang mahalagang component na nagpapahintulot sa mga modernong distribusyon ng Linux (tulad ng Fedora, Ubuntu, at openSUSE) na mag-boot sa mga system na may naka-enable na UEFI Secure Boot, mauunawaan na ang balita ay nagdulot ng ilang pag-aalala. Gayunpaman, napakalinaw ng mga developer ng Fedora sa bagay na ito: walang dahilan para mag-panic; ang iyong computer ay patuloy na mag-boot nang normal.
Para maunawaan kung bakit hindi magkakaroon ng malawakang pagsasara ng Linux, kailangang maunawaan kung paano gumagana ang kadena ng tiwala. Sa proseso ng pag-boot, hindi sinusuri ng UEFI system kung nag-expire na ang sertipiko, dahil ang tanging inaalala nito ay ang pag-verify na ang cryptographic signature ay balido at ang key ay hindi tahasang binawi dahil sa kompromiso. Ang pag-expire ng 2011 certificate ay nangangahulugan lamang na hindi na ito magagamit ng Microsoft upang pumirma ng mga bagong bersyon ng bootloader.
Ang paglipat sa bagong susi ng 2023
Upang mapanatili ang compatibility at matiyak na maaaring mai-install ang mga Linux system sa modernong hardware, bumuo ang Microsoft ng isang bagong certificate noong 2023. Ang paglipat sa bagong key na ito ay idinisenyo upang maging ganap na hindi nakikita ng user.
Sa kasalukuyan, ang mga repository tulad ng Fedora Rawhide (ang batayan para sa paparating na Fedora 45) ay mayroon nang dual-signed shim boot manager . Nangangahulugan ito na sertipikado ito ng parehong 2011 at 2023 keys, na tinitiyak ang pagiging tugma sa parehong mga lumang computer na hindi alam ang bagong key at mga modernong motherboard na mayroon nang naka-install na nito. Sa kalaunan, ang mga susunod na bersyon ng shim ay eksklusibong lalagdaan gamit ang 2023 key.
Mga totoong kahinaan: Ang panganib ay nasa lumang code
Ang maaaring pumigil sa pag-boot ng isang sistema ay hindi ang expiration, kundi ang pagbawi sa pamamagitan ng UEFI Certificate Revocation List (kilala bilang DBX). Kamakailan ay inilathala ang mga ulat sa seguridad na nagdedetalye ng dalawang kritikal na kahinaan (CVE-2026-8863 at CVE-2026-10797) na nagpapahintulot sa isang attacker na magpatupad ng malisyosong code sa pamamagitan ng pag-bypass sa Secure Boot protection.
Mabuti na lang at ang mga kahinaang ito ay nakakaapekto lamang sa mga lumang bersyon ng shim (bersyon 0.9 at mas luma, na nilikha bago ang 2016). Ang mga lagda ng mga mahinang layer na ito ay naidagdag na sa database ng mga ipinagbabawal na lagda (DBX). Kung mayroon kang isang napakaluma na sistema (tulad ng CentOS 7.2 o RHEL 7.2) at na-update ang iyong UEFI database, ang iyong computer ay mabibigong mag-boot dahil sa mga kadahilanang pangseguridad.
Ano ang dapat mong gawin (at ano ang HINDI mo dapat gawin)?
Bagama't hindi masisira ng expiration ang kasalukuyan mong sistema, mariing inirerekomenda ng mga developer na i-update ang key database ng iyong firmware upang matanggap ang bagong 2023 key at maging handa sa hinaharap. Narito ang mga utos para tingnan ang status ng iyong device:
Suriin kung gumagamit ka ng UEFI o BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Suriin kung naka-enable ang Secure Boot:
mokutil --sb-state
Ilista ang mga pampublikong susi sa firmware:
mokutil --db --short (Dapat mong makita rito ang 2011 key at, kung updated ka, ang 2023 key).
Awtomatikong i-update ang iyong firmware at mga key:
sudo fwupdmgr update (Mag-download ng mga update mula sa Linux Vendor Firmware Service).
Tiyakin kung aling susi ang ginagamit sa pagpirma ng iyong shim (nangangailangan ng pesign package):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Panghuli, mahalagang banggitin na naglabas ng babala ang mga developer ng Fedora:
Kung interesado kang matuto nang higit pa, makikita mo ang mga detalye sa sumusunod na link.