Serdiifikaadi kehtivusaeg, millega on kinnitatud UEFI Secure Booti laadija Linuxi jaotustes, on lõppemas

Fedora Linux arendajad selgitasid olukorda, mis on seotud Microsofti sertifikaadi kehtivuse lõppemisega, mis toimub juuni lõpus. See sertifikaat on vajalik Shim kihti digitaalsete allkirjade kinnitamiseks, mida kasutatakse Linuxi distributsioonide valideeritud käivitamiseks UEFI Secure Boot režiimis. Üleminek uuele sertifikaadile peaks kasutajatele märkamatuks jääma, kuna sertifikaadi kehtivuse lõpp viib vaid selle kasutamatuks muutumiseni uute allkirjade loomiseks. UEFI Secure Boot käivitamisel sertifikaadi kehtivust ei kontrollita ja oluline on vaid kompromiteeritud sertifikaatide tühistamine.

Olemasolevad süsteemid, kus shim uuendust pole installitud, jätkavad käivitamist seni, kuni sertifikaadi avalik võti kustutatakse püsivara mälust või lisatakse UEFI tühistatud sertifikaatide (DBX) nimekirja. Microsofti poolt kehtestatakse vaid shim laadimiskiht, milles on olemas distributsiooni avalik võti, mida kasutatakse laaditavate komponentide, nagu GRUB2 laadija, Linuxi tuum, tuuma moodulid ja käivitamisprotsessid nagu fwupd, allkirjastamiseks. Selline lähenemine võimaldab Microsoftil kinnitada vaid muudatusi shim kihtis ning ise tagada distributsiooni käivitamisprotsessi valideerimist.

Microsofti sertifikaat kolmandate osapoolte püsivara jaoks UEFI Secure Boot'is on kehtinud alates 2011. aastast. 2023. aastal genereeriti sellele uue sertifikaadi asemel, mis hakkab kehtima allkirjade vormistamiseks alates oktoobrist 2025. Fedora Rawhide'i hoidlasse, mille põhjal luuakse Fedora 45 versioon, on juba lisatud uuendatud shim, mis on sertifitseeritud mitme võtmega, et tagada maksimaalne ühilduvus seadmetega (saab kasutada nii vana püsivara puhul, millel ei ole uue sertifikaadi avalikku võtit, kui ka püsivara puhul, millel ei ole vana sertifikaadi avalikku võtit).

Vaatamata sellele, et Microsofti sertifikaadi aegumine ei tohiks laadimisprotsessi mõjutada, soovitavad Fedora arendajad kasutajatel ajakohastada Secure Booti võtmete andmebaasi, kui nende riistvara uued püsivara versioonid ilmuvad. Süsteemi UEFI Secure Boot režiimis käivitatud asjaolu määramiseks saab kasutada käsku „mokutil —sb-state”, ja püsivaras olemasolevate avatud võtmete loendi kuvamiseks „mokutil —db —short”. Shim-i kihti allkirjastatud võtmete kuvamiseks saab käivitada käsu „sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi”, eelnevalt paigaldades pesign-paketi. Püsivara uuendamise olemasolu ja selle installimise kontrollimiseks saab käivitada käsu „sudo fwupdmgr update”.

Järgmine shim-i kiht saab olema allkirjastatud ainult uue Microsofti sertifikaadiga ja püsivara uuendamine on vajalik oma süsteemide selle muudatusega ettevalmistamiseks. Shim-i uuendus võidakse välja anda, kui tuvastatakse haavatavusi ja tõsiseid vigu, mis võivad ilmuda nii kuu kui ka aasta pärast. Shim-i olemasolu jooksul on projekti käigus leitud kriitilisi haavatavusi, samas kui viimane raport shim-i turvaprobleemidest avaldati vaid paar päeva tagasi.

Aruandes on välja toodud kaks hiljuti tuvastatud haavatavust CVE-2026-8863 ja
CVE-2026-10797, mis võimaldavad läbiviimist oma koodi varajases laadimisfaasis enne operatsioonisüsteemile üleandmist, mööda pääseda UEFI Secure Boot kaitset ja realiseerida allkirjastamata digitaalsete allkirjastatavate komponentide laadimist. Probleemid mõjutavad shim-i versioone kuni 0.9 väljaanne, mis on koostatud enne 2016. aastat. Rünnakule on vastuvõtlikud väga vanad süsteemid, nagu
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 ja openSUSE shim 0.9. Shim-i kihid kuni 0.9 versioonini on lisatud tühistatud digitaalsete allkirjade andmebaasi DBX (UEFI Forbidden Signature Database) ja DBX-i süsteemi uuendamisel ei saa neid kasutada UEFI Secure Boot režiimis käivitamiseks.

Allikas: opennet.ru