Birkaç gün önce, Linux shim katmanını dijital olarak imzalamak için kullanılan Microsoft sertifikasının bu ayın sonunda (Haziran 2026) geçerlilik süresinin dolacağı haberi geldi. Bu, Fedora, Ubuntu ve openSUSE gibi modern Linux dağıtımlarının UEFI Güvenli Önyükleme etkinleştirilmiş sistemlerde önyükleme yapmasını sağlayan temel bileşen olduğundan, bu haberin bazı endişelere yol açması anlaşılabilir. Ancak Fedora geliştiricileri bu konuda çok net bir açıklama yaptı: Panik yapmaya gerek yok; bilgisayarınız normal şekilde önyükleme yapmaya devam edecek.
Linux'ta büyük bir kapanma yaşanmayacağını anlamak için, güven zincirinin nasıl çalıştığını anlamak gerekir. Önyükleme işlemi sırasında, UEFI sistemi sertifikanın süresinin dolup dolmadığını kontrol etmez; tek amacı kriptografik imzanın geçerli olduğunu ve anahtarın güvenlik ihlali nedeniyle açıkça iptal edilmediğini doğrulamaktır . 2011 sertifikasının süresinin dolması, Microsoft'un artık yeni önyükleyici sürümlerini imzalamak için bu sertifikayı kullanamayacağı anlamına gelir.
2023'ün yeni anahtarına geçiş
Microsoft, uyumluluğu korumak ve Linux sistemlerinin modern donanımlara kurulabilmesini sağlamak için 2023 yılında yeni bir sertifika oluşturdu. Bu yeni anahtara geçiş, kullanıcı için tamamen görünmez olacak şekilde tasarlandı.
Şu anda Fedora Rawhide (yakında çıkacak Fedora 45'in temeli) gibi depolar, çift imzalı bir shim önyükleme yöneticisi içeriyor . Bu, hem 2011 hem de 2023 anahtarlarıyla onaylandığı anlamına gelir ve yeni anahtarı bilmeyen eski bilgisayarlarla ve önceden yüklenmiş olan modern anakartlarla uyumluluğu sağlar. Gelecekteki shim sürümleri yalnızca 2023 anahtarıyla imzalanacaktır.
Gerçek güvenlik açıkları: Tehlike eski kodda yatıyor.
Bir sistemin önyüklenmesini engelleyen şey aslında sertifikanın süresinin dolması değil, UEFI Sertifika İptal Listesi (DBX olarak bilinir) aracılığıyla iptal edilmesidir. Son zamanlarda yayınlanan güvenlik raporları, bir saldırganın Güvenli Önyükleme korumasını atlayarak kötü amaçlı kod çalıştırmasına olanak tanıyan iki kritik güvenlik açığını (CVE-2026-8863 ve CVE-2026-10797) ayrıntılarıyla ortaya koymaktadır.
Neyse ki, bu güvenlik açıkları yalnızca shim'in son derece eski sürümlerini (2016'dan önce oluşturulmuş 0.9 ve önceki sürümler) etkiliyor. Bu savunmasız katmanların imzaları, yasaklı imzalar veritabanına (DBX) eklendi. Çok eski bir sisteme (örneğin CentOS 7.2 veya RHEL 7.2) sahipseniz ve UEFI veritabanınız güncellenmişse, güvenlik nedenleriyle bilgisayarınız önyükleme yapamayacaktır.
Ne yapmalısınız (ve ne yapmamalısınız)?
Sürenin dolması mevcut sisteminizi bozmasa da , geliştiriciler yeni 2023 anahtarını almak ve geleceğe yönelik hazırlıklı olmak için aygıt yazılımınızın anahtar veritabanını güncellemenizi şiddetle tavsiye eder. Cihazınızın durumunu kontrol etmek için kullanabileceğiniz komutlar şunlardır:
UEFI mi yoksa BIOS (Eski) mu kullandığınızı kontrol edin:
[[ -d /sys/firmware/efi ]] || echo BIOS
Güvenli Önyükleme'nin etkin olup olmadığını kontrol edin:
mokutil --sb-state
Ürün yazılımındaki genel anahtarları listeleyin:
mokutil --db --short (Burada 2011 anahtarını ve eğer sisteminiz güncelse 2023 anahtarını görmelisiniz.)
Ürün yazılımınızı ve anahtarlarınızı otomatik olarak güncelleyin:
sudo fwupdmgr update (Linux Satıcı Donanım Yazılımı Servisinden güncellemeleri indirin).
Shim dosyanızın hangi anahtarla imzalandığını doğrulayın (pesign paketi gereklidir):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Son olarak, Fedora geliştiricilerinin bir uyarı yayınladığını belirtmekte fayda var:
Daha fazla bilgi edinmek isterseniz, aşağıdaki bağlantıdan detaylara ulaşabilirsiniz.