Кілька днів тому з’явилася новина про те, що наприкінці цього місяця (червень 2026 року) термін дії сертифіката Microsoft, який використовується для цифрового підпису шару прокладки Linux, закінчиться. Оскільки це важливий компонент, який дозволяє сучасним дистрибутивам Linux (таким як Fedora, Ubuntu та openSUSE) завантажуватися на системах з увімкненим UEFI Secure Boot, зрозуміло, що ця новина викликала певне занепокоєння. Однак розробники Fedora чітко висловилися з цього питання: немає причин для паніки; ваш комп’ютер продовжуватиме завантажуватися нормально.
Щоб зрозуміти, чому не буде масового завершення роботи Linux, необхідно зрозуміти, як працює ланцюжок довіри. Під час завантаження система UEFI не перевіряє, чи термін дії сертифіката закінчився, оскільки її єдиним завданням є перевірка дійсності криптографічного підпису та того, що ключ не був явно відкликаний через компрометацію. Закінчення терміну дії сертифіката 2011 року просто означає, що Microsoft більше не зможе використовувати його для підписання нових версій завантажувача.
Перехід на нову тональність 2023 року
Щоб зберегти сумісність і гарантувати можливість встановлення систем Linux на сучасне обладнання, Microsoft створила новий сертифікат у 2023 році. Перехід на цей новий ключ був розроблений таким чином, щоб бути повністю непомітним для користувача.
Наразі репозиторії, такі як Fedora Rawhide (основа для майбутньої Fedora 45), вже містять менеджер завантаження shim з подвійним підписом . Це означає, що він сертифікований як ключами 2011, так і 2023 років, що забезпечує сумісність як зі старими комп'ютерами, які не знають нового ключа, так і з сучасними материнськими платами, на яких він вже попередньо встановлений. Зрештою, майбутні версії shim будуть підписані виключно ключем 2023 року.
Реальні вразливості: небезпека криється у старому коді
Насправді завантаженню системи може перешкодити не закінчення терміну дії, а скасування через список відкликаних сертифікатів UEFI (відомий як DBX). Нещодавно були опубліковані звіти про безпеку, в яких детально описано дві критичні вразливості (CVE-2026-8863 та CVE-2026-10797), які дозволяють зловмиснику виконувати шкідливий код, обходячи захист Secure Boot.
На щастя, ці вразливості стосуються лише надзвичайно старих версій прокладки (версія 0.9 та раніші, створені до 2016 року). Сигнатури цих вразливих шарів були додані до бази даних заборонених сигнатур (DBX). Якщо у вас дуже застаріла система (наприклад, CentOS 7.2 або RHEL 7.2), а ваша база даних UEFI оновлена, ваш комп'ютер не завантажиться з міркувань безпеки.
Що слід робити (і чого НЕ слід робити)?
Хоча закінчення терміну дії не призведе до збою вашої поточної системи, розробники наполегливо рекомендують оновити базу даних ключів вашої прошивки , щоб отримати новий ключ 2023 року та бути готовими до майбутніх робіт. Ось команди для перевірки стану вашого пристрою:
Перевірте, чи використовуєте ви UEFI, чи BIOS (Legacy):
[[ -d /sys/firmware/efi ]] || echo BIOS
Перевірте, чи ввімкнено безпечне завантаження:
mokutil --sb-state
Перелічіть відкриті ключі у прошивці:
mokutil --db --short (Тут ви маєте побачити ключ 2011 року та, якщо у вас є актуальна версія, ключ 2023 року).
Автоматичне оновлення прошивки та ключів:
sudo fwupdmgr update (Завантажте оновлення зі служби прошивки постачальників Linux).
Перевірте, яким ключем підписано вашу прокладку (потрібен пакет design):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Насамкінець, варто зазначити, що розробники Fedora випустили попередження:
Якщо ви зацікавлені дізнатися більше, ви можете знайти деталі за наступним посиланням.