Die Entwickler von Fedora Linux haben die Situation hinsichtlich des Ablaufs des Microsoft-Zertifikats am Ende Juni klargestellt, das zur digitalen Signatur der Shim-Schicht verwendet wird, die für das verifisierte Booten von Linux-Distributionen im UEFI Secure Boot-Modus zuständig ist. Der Übergang zu einem neuen Zertifikat sollte für die Benutzer unauffällig verlaufen, da das tatsächliche Ende der Lebensdauer des Zertifikats lediglich zur Folge hat, dass keine neuen Signaturen mehr erstellt werden können. Während des UEFI Secure Boot wird die Gültigkeit des Zertifikats nicht überprüft, und es zählt nur der Widerruf kompromittierter Zertifikate.
Vorhandene Systeme ohne das Update des Shim-Bootloaders werden weiterhin starten, solange der öffentliche Schlüssel des Zertifikats nicht aus der Firmware entfernt oder in die Liste der zurückgerufenen UEFI-Zertifikate (DBX) aufgenommen wird. Der Microsoft-Schlüssel zertifiziert nur die Shim-Bootschicht, die den öffentlichen Schlüssel des Distributors enthält, der zur Zertifizierung von geladenen Komponenten wie dem GRUB2-Bootloader, dem Linux-Kernel, Kernel-Modulen und während des Bootvorgangs verwendeten Prozessen wie fwupd verwendet wird. Dieser Ansatz ermöglicht es Microsoft, nur die Änderungen in der Shim-Schicht zu zertifizieren und die Verifikation des Bootprozesses des Distributors eigenständig zu gewährleisten.
Das Microsoft-Zertifikat zur Signierung von Drittanbieter-Firmware für UEFI Secure Boot ist seit 2011 gültig. Im Jahr 2023 wurde ein neues Zertifikat generiert, das ab Oktober 2025 für die Erstellung von Signaturen verwendet wird. Im Fedora Rawhide-Repository, auf dem das Release von Fedora 45 basiert, wurde bereits ein aktualisierter Shim hinzugefügt, der mit mehreren Schlüsseln signiert ist, um maximale Kompatibilität mit der Hardware zu gewährleisten (es kann sowohl auf älteren Firmware-Versionen ohne den öffentlichen Schlüssel des neuen Zertifikats als auch auf Firmware-Versionen ohne den öffentlichen Schlüssel des alten Zertifikats verwendet werden).
Obwohl das Ablaufdatum des Microsoft-Zertifikats die Bootfähigkeit nicht beeinträchtigen sollte, empfehlen die Entwickler von Fedora den Nutzern, die Datenbank mit den Schlüsseln für Secure Boot zu aktualisieren, sobald neue Firmware-Versionen für ihre Hardware verfügbar sind. Um den Status des Systemstarts im UEFI Secure Boot-Modus zu überprüfen, kann der Befehl „mokutil —sb-state“ verwendet werden. Um eine Liste der in der Firmware vorhandenen öffentlichen Schlüssel anzuzeigen, nutzen Sie „mokutil —db —short“. Um die Schlüssel, mit denen die shim-Schicht signiert ist, anzuzeigen, können Sie den Befehl „sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi“ ausführen, nachdem das Paket pesign installiert wurde. Um eine verfügbare Firmware-Update zu überprüfen und es zu installieren, führen Sie den Befehl „sudo fwupdmgr update“ aus.
Die nächste Version des Shim-Layers wird nur mit einem neuen Microsoft-Zertifikat signiert, und ein Firmware-Update ist erforderlich, um Ihre Systeme auf diese Änderung vorzubereiten. Das Shim-Update wird nur herausgegeben, wenn Sicherheitsanfälligkeiten und schwerwiegende Fehler entdeckt werden, was sowohl in einem Monat als auch in einem Jahr geschehen kann. Während der Existenz von Shim im Projekt wurden kritische Schwächen gefunden, und der letzte Bericht über Sicherheitsprobleme im Shim wurde erst vor einigen Tagen veröffentlicht.
Im Bericht werden zwei kürzlich entdeckte Schwachstellen, CVE-2026-8863 und
CVE-2026-10797, erwähnt, die die Ausführung von eigenem Code in einem frühen Ladezustand bis zur Übergabe der Kontrolle an das Betriebssystem ermöglichen, den UEFI Secure Boot-Schutz umgehen und das Laden von Komponenten des Kernels ohne digitale Signatur erlauben. Die Probleme betreffen Shim-Versionen bis einschließlich 0.9, die vor 2016 erstellt wurden. Betroffen sind sehr alte Systeme, wie
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 und openSUSE mit Shim 0.9. Shim-Schichten bis einschließlich Version 0.9 sind in die Datenbank der eingezogenen digitalen Signaturen DBX (UEFI Forbidden Signature Database) aufgenommen worden und können bei einem DBX-Update im System nicht mehr für das Booten im UEFI Secure Boot-Modus verwendet werden.
Quelle: opennet.ru
