{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Udl\u00f8bsdatoen for certifikatet, der validerer bootloaderen til UEFI Secure Boot i Linux-distributioner, n\u00e6rmer sig","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udviklere af Fedora Linux har pr\u00e6ciseret situationen vedr\u00f8rende udl\u00f8bet af Microsofts certifikat i slutningen af juni, som anvendes til at bekr\u00e6fte den digitale signatur af Shim-laget, der bruges til verificeret opstart af Linux-distributioner i UEFI Secure Boot-tilstand. Overgangen til det nye certifikat skal ske uden problemer for brugerne, da udl\u00f8bet af certifikatets levetid faktisk kun vil f\u00f8re til, at det ikke l\u00e6ngere kan bruges til at lave nye signaturer. Under UEFI Secure Boot kontrolleres certifikatets gyldighed ikke, og det er kun tilbagekaldelse af kompromitterede certifikater, der har betydning. <\/p>\n
Eksisterende systemer uden installation af shim-opdateringen vil forts\u00e6tte med at starte op, s\u00e5 l\u00e6nge den offentlige n\u00f8gle til certifikatet ikke er fjernet fra firmware eller ikke er tilf\u00f8jet til listen over tilbagekaldte certifikater i UEFI (DBX). Microsoft signerer kun bootlaget shim, hvor den offentlige n\u00f8gle til distributionen er til stede, og som bruges til at bekr\u00e6fte de indl\u00e6ste komponenter som GRUB2-bootloaderen, Linux-kernen, kernelmodulerne og opstartsprocesserne som fwupd. Denne tilgang g\u00f8r det muligt for Microsoft kun at bekr\u00e6fte \u00e6ndringer i shim-laget og selvst\u00e6ndigt sikre verifikation af opstarten af distributionen.<\/p>\n
Microsofts certifikat til at bekr\u00e6fte tredjepartsfirmwares til UEFI Secure Boot har v\u00e6ret gyldigt siden 2011. I 2023 blev der genereret et nyt certifikat, som skulle bruges til at danne signaturer fra oktober 2025. Det opdaterede shim er allerede blevet tilf\u00f8jet til Fedora Rawhide-repositoriet, som bruges til at danne udgivelsen af Fedora 45, og det er blevet signeret med flere n\u00f8gler for at sikre maksimal kompatibilitet med hardware (kan bruges b\u00e5de p\u00e5 gamle firmwares uden den offentlige n\u00f8gle til det nye certifikat og p\u00e5 firmwares uden den offentlige n\u00f8gle til det gamle certifikat).<\/p>\n
Selvom udl\u00f8bet af Microsofts certifikat ikke burde p\u00e5virke boot-funktionen, anbefaler Fedora-udviklerne brugerne at opdatere DB'en med n\u00f8gler til Secure Boot, n\u00e5r nye firmwareversioner for deres udstyr bliver tilg\u00e6ngelige. For at bestemme, om systemet er startet i UEFI Secure Boot-tilstand, kan man bruge kommandoen «mokutil —sb-state», og for at vise listen over \u00e5bne n\u00f8gler, der findes i firmwaren, kan man k\u00f8re «mokutil —db —short». For at se de n\u00f8gler, som shim-laget er signeret med, kan man k\u00f8re kommandoen «sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi», efter f\u00f8rst at have installeret pakken pesign. For at kontrollere, om der er firmwareopdateringer, og for at installere dem, kan man udf\u00f8re kommandoen «sudo fwupdmgr update». <\/p>\n
Den n\u00e6ste version af shim-laget vil kun blive signeret med et nyt Microsoft-certifikat, og det er n\u00f8dvendigt at opdatere firmwaren for at forberede sine systemer til denne \u00e6ndring. Opdateringen af shim vil blive frigivet i tilf\u00e6lde af opdagelse af s\u00e5rbarheder og alvorlige fejl, hvilket kan ske om en m\u00e5ned eller om et \u00e5r. I l\u00f8bet af shims eksistens i projektet er kritiske s\u00e5rbarheder blevet fundet, og den seneste rapport om sikkerhedsproblemer med shim blev offentliggjort for blot f\u00e5 dage siden. <\/p>\n
Rapporten n\u00e6vner to nyligt identificerede s\u00e5rbarheder CVE-2026-8863 og \nCVE-2026-10797, som g\u00f8r det muligt at udf\u00f8re sin egen kode tidligt i opstarten, inden kontrol overf\u00f8res til operativsystemet, omg\u00e5 UEFI Secure Boot-beskyttelsen og muligg\u00f8re opstart af komponenter i kernen uden gyldig digital signatur. Problemerne p\u00e5virker shim-versioner op til og med version 0.9, der blev dannet inden 2016. Meget gamle systemer, s\u00e5som \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 og openSUSE med shim 0.9, er s\u00e5rbare. Shim-lag op til og med version 0.9 er blevet tilf\u00f8jet til databasen med tilbagekaldte digitale signaturer DBX (UEFI Forbidden Signature Database), og hvis DBX opdateres, vil de ikke kunne bruges til opstart i UEFI Secure Boot-tilstand. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"