{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Das Ablaufdatum des Zertifikats, das den Bootloader f\u00fcr UEFI Secure Boot in Linux-Distributionen signiert, l\u00e4uft ab","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Entwickler von Fedora Linux haben die Situation erkl\u00e4rt, die mit dem Ablauf des Microsoft-Zertifikats Ende Juni verbunden ist, das zur digitalen Signierung der Shim-Schicht verwendet wird, die f\u00fcr das verifizierte Booten von Linux-Distributionen im UEFI Secure Boot-Modus ben\u00f6tigt wird. Der \u00dcbergang zu einem neuen Zertifikat soll f\u00fcr die Nutzer unbemerkt verlaufen, da der tats\u00e4chliche Ablauf des Zertifikats nur dazu f\u00fchren wird, dass es nicht mehr f\u00fcr die Erstellung neuer Signaturen verwendet werden kann. W\u00e4hrend des Bootvorgangs im UEFI Secure Boot wird die G\u00fcltigkeit des Zertifikats nicht \u00fcberpr\u00fcft und ist nur relevant f\u00fcr den Widerruf kompromittierter Zertifikate. <\/p>\n
Bestehende Systeme, die das shim-Update nicht installiert haben, setzen das Booten fort, solange der \u00f6ffentliche Schl\u00fcssel des Zertifikats nicht aus der Firmware entfernt oder auf die Liste der widerrufenen UEFI-Zertifikate (DBX) gesetzt wird. Nur die Bootschicht shim wird mit dem Schl\u00fcssel von Microsoft signiert, in der sich der \u00f6ffentliche Schl\u00fcssel der Distribution befindet, der zur Signierung der geladenen Komponenten wie dem GRUB2-Bootloader, dem Linux-Kernel, den Kernel-Modulen und den Prozessen, die beim Booten verwendet werden, wie fwupd, angewendet wird. Dieser Ansatz erlaubt es Microsoft, nur \u00c4nderungen an der Shim-Schicht zu signieren und die Verifizierung des Bootprozesses der Distribution eigenst\u00e4ndig zu gew\u00e4hrleisten.<\/p>\n
Das Microsoft-Zertifikat zur Signierung von Drittanbieter-Firmware f\u00fcr UEFI Secure Boot ist seit 2011 in Kraft. Im Jahr 2023 wurde ein neues Zertifikat generiert, das ab Oktober 2025 f\u00fcr die Erstellung von Signaturen verwendet wird. Das aktualisierte shim, das mit mehreren Schl\u00fcsseln signiert ist, um maximale Kompatibilit\u00e4t mit Hardware zu gew\u00e4hrleisten, wurde bereits im Fedora Rawhide-Repository hinzugef\u00fcgt, auf dessen Grundlage das Release Fedora 45 erstellt wird (es kann sowohl auf \u00e4lteren Firmwaren ohne den \u00f6ffentlichen Schl\u00fcssel des neuen Zertifikats als auch auf Firmwaren ohne den \u00f6ffentlichen Schl\u00fcssel des alten Zertifikats verwendet werden).<\/p>\n
Obwohl das Ablaufen des Microsoft-Zertifikats die Bootf\u00e4higkeit nicht beeintr\u00e4chtigen sollte, empfehlen die Entwickler von Fedora den Nutzern, die Datenbank mit den Schl\u00fcsseln f\u00fcr Secure Boot zu aktualisieren, sobald neue Firmware-Versionen f\u00fcr ihre Hardware verf\u00fcgbar sind. Zur \u00dcberpr\u00fcfung, ob das System im UEFI Secure Boot Modus gestartet wurde, kann der Befehl \u201emokutil \u2014sb-state\u201c verwendet werden, um die Liste der in der Firmware vorhandenen \u00f6ffentlichen Schl\u00fcssel anzuzeigen \u2014 \u201emokutil \u2014db \u2014short\u201c. Um die Schl\u00fcssel anzuzeigen, mit denen die Shim-Schicht signiert ist, kann der Befehl \u201esudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi\u201c ausgef\u00fchrt werden, nachdem das Paket pesign installiert wurde. Zur \u00dcberpr\u00fcfung, ob ein Firmware-Update verf\u00fcgbar ist und zur Installation kann der Befehl \u201esudo fwupdmgr update\u201c ausgef\u00fchrt werden. <\/p>\n
Die n\u00e4chste Version der shim-Schicht wird nur mit einem neuen Microsoft-Zertifikat signiert, und ein Firmware-Update ist erforderlich, um die Systeme auf diese \u00c4nderung vorzubereiten. Das Update von shim wird ver\u00f6ffentlicht, wenn Sicherheitsanf\u00e4lligkeiten und schwerwiegende Fehler festgestellt werden, was in einem Monat oder auch in einem Jahr geschehen kann. Seit der Einf\u00fchrung von shim im Projekt wurden kritische Sicherheitsanf\u00e4lligkeiten entdeckt, wobei der letzte Bericht \u00fcber Sicherheitsprobleme mit shim erst vor wenigen Tagen ver\u00f6ffentlicht wurde. <\/p>\n
Im Bericht werden zwei k\u00fcrzlich entdeckte Schwachstellen, CVE-2026-8863 und \nCVE-2026-10797, erw\u00e4hnt, die es erm\u00f6glichen, eigenen Code fr\u00fch im Bootvorgang auszuf\u00fchren, bevor die Kontrolle an das Betriebssystem \u00fcbergeben wird, die UEFI Secure Boot-Schutzma\u00dfnahmen zu umgehen und das Booten von unvertrauensw\u00fcrdig signierten Kernel-Komponenten zu erm\u00f6glichen. Die Probleme betreffen shim-Versionen bis einschlie\u00dflich 0.9, die vor 2016 erstellt wurden. Veraltete Systeme wie \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 und openSUSE mit shim 0.9 sind von Angriffen betroffen. Shim-Schichten bis einschlie\u00dflich Version 0.9 wurden in die Datenbank f\u00fcr zur\u00fcckgezogene digitale Signaturen DBX (UEFI Forbidden Signature Database) aufgenommen und k\u00f6nnen im Falle eines DBX-Updates im System nicht mehr im UEFI Secure Boot-Modus verwendet werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"