Изтича срокът на сертификата, с който е заверен загрузчикът за UEFI Secure Boot в дистрибуциите на Linux

Разработчиците на Fedora Linux изясниха ситуацията, свързана с изтичането в края на юни на срока на действие на сертификата на Microsoft, използван за удостоверяване на цифровия подпис на слоя Shim, който се използва за проверена зареждане на Linux дистрибуции в режим UEFI Secure Boot. Преходът към новия сертификат трябва да премине незабелязано за потребителите, тъй като фактическият край на срока на действие на сертификата ще доведе само до невъзможност за използването му при създаване на нови подписи. По време на зареждането в UEFI Secure Boot срокът на действие на сертификата не се проверява и е от значение само отзоваване на компрометирани сертификати.

Съществуващите системи без инсталиране на обновлението shim ще продължат да зареждат, докато публичният ключ на сертификата не бъде изтрит от фърмуера или не бъде поставен в списъка с отзовани сертификати UEFI (DBX). Ключът на Microsoft удостоверява само зареждащия слой shim, в който е наличен публичният ключ на дистрибуцията, използван за удостоверяване на зарежданите компоненти, такива като зареждача GRUB2, ядрото на Linux, модулите на ядрото и процесите, използвани при зареждането, като fwupd. Този подход позволява на Microsoft да удостоверява само промените в слоя shim и самостоятелно да осигурява проверка на процеса на зареждане на дистрибуцията.

Сертификатът на Microsoft за удостоверяване на трети страни фърмули за UEFI Secure Boot е в сила от 2011 година. През 2023 година му беше създаден нов сертификат, който ще се използва за формирование на подписи от октомври 2025 година. В хранилището на Fedora Rawhide, на базата на което се формира версията Fedora 45, вече е добавен обновен shim, удостоверен с няколко ключа за осигуряване на максимална съвместимост с хардуера (може да се използва както на стари фърмуери без публичния ключ на новия сертификат, така и на фърмуери без публичния ключ на стария сертификат).

Въпреки че изтичането на срока на сертификата Microsoft не трябва да влияе на работоспособността на зареждането, разработчиците на Fedora съветват потребителите да обновят базата данни с ключове за Secure Boot, когато се появят нови версии на фърмуера за техните устройства. За да се определи дали системата се зарежда в режим UEFI Secure Boot, може да се използва командата «mokutil —sb-state», а за да се покаже списъкът с наличните в фърмуера отворени ключове — «mokutil —db —short». За да се видят ключовете, с които е подписан shim слоят, може да се стартира командата «sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi», преди това е необходимо да се инсталира пакета pesign. За проверка на наличието на обновление на фърмуера и неговото инсталиране може да се изпълни командата «sudo fwupdmgr update».

Следващата версия на shim слоя ще бъде заверена единствено с нов сертификат на Microsoft, а обновлението на фърмуера е необходимо за подготовка на системите за това изменение. Обновлението на shim ще бъде издадено в случай на откритие на уязвимости или сериозни грешки, което може да се случи както след месец, така и след година. През времето на съществуването на shim в проекта са били откривани критични уязвимости, като последният доклад за проблеми със сигурността в shim е издаден едва преди няколко дни.

В доклада са отбелязани две наскоро открити уязвимости CVE-2026-8863 и
CVE-2026-10797, които позволяват изпълнение на собствен код на ранния етап на зареждане преди предаване на контрол на операционната система, заобикаляйки защитата на UEFI Secure Boot и реализирайки зареждане на незаверени с цифрова подпис компоненти на ядрото. Проблемите засягат версии на shim до версия 0.9 включително, формулирани преди 2016 година. На атака са подложени много стари системи, като
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 и openSUSE с shim 0.9. Shim слоевете до версия 0.9 включително са добавени в базата на отзованите цифрови подписи DBX (UEFI Forbidden Signature Database) и в случай на обновление на DBX в системата, няма да могат да се използват за зареждане в режим UEFI Secure Boot.

Източник: opennet.ru