Vài ngày trước, có thông tin cho biết vào cuối tháng này (tháng 6 năm 2026), chứng chỉ của Microsoft dùng để ký điện tử lớp shim của Linux sẽ hết hạn. Vì đây là thành phần thiết yếu cho phép các bản phân phối Linux hiện đại (như Fedora, Ubuntu và openSUSE) khởi động trên các hệ thống có bật UEFI Secure Boot, nên việc tin tức này gây ra một số lo ngại là điều dễ hiểu. Tuy nhiên, các nhà phát triển Fedora đã khẳng định rõ ràng: không có lý do gì để hoảng sợ; máy tính của bạn sẽ tiếp tục khởi động bình thường.
Để hiểu tại sao sẽ không có sự ngừng hoạt động hàng loạt của Linux, cần phải hiểu cách thức hoạt động của chuỗi tin cậy. Trong quá trình khởi động, hệ thống UEFI không kiểm tra xem chứng chỉ đã hết hạn hay chưa, vì mối quan tâm duy nhất của nó là xác minh rằng chữ ký mã hóa hợp lệ và khóa chưa bị thu hồi một cách rõ ràng do bị xâm phạm. Việc chứng chỉ năm 2011 hết hạn chỉ đơn giản có nghĩa là Microsoft sẽ không còn có thể sử dụng nó để ký các phiên bản mới của bộ nạp khởi động.
Quá trình chuyển đổi sang chìa khóa mới năm 2023
Để duy trì khả năng tương thích và đảm bảo rằng hệ thống Linux có thể được cài đặt trên phần cứng hiện đại, Microsoft đã tạo ra một chứng chỉ mới vào năm 2023. Quá trình chuyển đổi sang khóa mới này được thiết kế để hoàn toàn không gây ảnh hưởng đến người dùng.
Hiện tại, các kho lưu trữ như Fedora Rawhide (nền tảng cho Fedora 45 sắp ra mắt) đã bao gồm trình quản lý khởi động shim được ký kép . Điều này có nghĩa là nó được chứng nhận bởi cả khóa năm 2011 và 2023, đảm bảo khả năng tương thích với cả các máy tính cũ không nhận biết khóa mới và các bo mạch chủ hiện đại đã cài đặt sẵn khóa này. Cuối cùng, các phiên bản shim trong tương lai sẽ chỉ được ký bằng khóa năm 2023.
Các lỗ hổng thực sự: Mối nguy hiểm nằm ở mã nguồn cũ.
Điều thực sự có thể ngăn hệ thống khởi động không phải là việc hết hạn chứng chỉ, mà là việc thu hồi chứng chỉ thông qua Danh sách thu hồi chứng chỉ UEFI (gọi tắt là DBX). Các báo cáo bảo mật gần đây đã công bố chi tiết hai lỗ hổng nghiêm trọng (CVE-2026-8863 và CVE-2026-10797) cho phép kẻ tấn công thực thi mã độc bằng cách vượt qua cơ chế bảo vệ Khởi động An toàn.
May mắn thay, những lỗ hổng này chỉ ảnh hưởng đến các phiên bản shim cực kỳ cũ (phiên bản 0.9 trở xuống, được tạo trước năm 2016). Chữ ký của các lớp dễ bị tổn thương này đã được thêm vào cơ sở dữ liệu các chữ ký bị cấm (DBX). Nếu bạn có một hệ thống rất lỗi thời (chẳng hạn như CentOS 7.2 hoặc RHEL 7.2) và cơ sở dữ liệu UEFI của bạn đã được cập nhật, máy tính của bạn sẽ không khởi động được vì lý do bảo mật.
Bạn nên làm gì (và bạn KHÔNG nên làm gì)?
Mặc dù việc hết hạn sẽ không làm hỏng hệ thống hiện tại của bạn, nhưng các nhà phát triển đặc biệt khuyên bạn nên cập nhật cơ sở dữ liệu khóa firmware để nhận khóa mới năm 2023 và đảm bảo khả năng tương thích trong tương lai. Dưới đây là các lệnh để kiểm tra trạng thái thiết bị của bạn:
Kiểm tra xem bạn đang sử dụng UEFI hay BIOS (chế độ cũ):
[[ -d /sys/firmware/efi ]] || echo BIOS
Kiểm tra xem Chế độ Khởi động An toàn (Secure Boot) có được bật hay không:
mokutil --sb-state
Liệt kê các khóa công khai trong phần mềm nhúng:
mokutil --db --short (Ở đây bạn sẽ thấy mã khóa năm 2011 và, nếu bạn đã cập nhật lên phiên bản mới nhất, mã khóa năm 2023).
Tự động cập nhật phần mềm và khóa của bạn:
sudo fwupdmgr update (Tải xuống các bản cập nhật từ Dịch vụ Phần mềm cơ sở của Nhà cung cấp Linux).
Hãy xác minh xem shim của bạn được ký bằng khóa nào (yêu cầu gói pesign):
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi
Cuối cùng, điều đáng nói là các nhà phát triển Fedora đã đưa ra một cảnh báo:
Nếu bạn muốn tìm hiểu thêm, bạn có thể xem chi tiết tại liên kết sau.