{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Serdiifikaadi kehtivusaeg, millega on kinnitatud UEFI Secure Booti laadija Linuxi jaotustes, on l\u00f5ppemas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Fedora Linux arendajad selgitasid olukorda, mis on seotud Microsofti sertifikaadi kehtivuse l\u00f5ppemisega, mis toimub juuni l\u00f5pus. See sertifikaat on vajalik Shim kihti digitaalsete allkirjade kinnitamiseks, mida kasutatakse Linuxi distributsioonide valideeritud k\u00e4ivitamiseks UEFI Secure Boot re\u017eiimis. \u00dcleminek uuele sertifikaadile peaks kasutajatele m\u00e4rkamatuks j\u00e4\u00e4ma, kuna sertifikaadi kehtivuse l\u00f5pp viib vaid selle kasutamatuks muutumiseni uute allkirjade loomiseks. UEFI Secure Boot k\u00e4ivitamisel sertifikaadi kehtivust ei kontrollita ja oluline on vaid kompromiteeritud sertifikaatide t\u00fchistamine. <\/p>\n
Olemasolevad s\u00fcsteemid, kus shim uuendust pole installitud, j\u00e4tkavad k\u00e4ivitamist seni, kuni sertifikaadi avalik v\u00f5ti kustutatakse p\u00fcsivara m\u00e4lust v\u00f5i lisatakse UEFI t\u00fchistatud sertifikaatide (DBX) nimekirja. Microsofti poolt kehtestatakse vaid shim laadimiskiht, milles on olemas distributsiooni avalik v\u00f5ti, mida kasutatakse laaditavate komponentide, nagu GRUB2 laadija, Linuxi tuum, tuuma moodulid ja k\u00e4ivitamisprotsessid nagu fwupd, allkirjastamiseks. Selline l\u00e4henemine v\u00f5imaldab Microsoftil kinnitada vaid muudatusi shim kihtis ning ise tagada distributsiooni k\u00e4ivitamisprotsessi valideerimist.<\/p>\n
Microsofti sertifikaat kolmandate osapoolte p\u00fcsivara jaoks UEFI Secure Boot'is on kehtinud alates 2011. aastast. 2023. aastal genereeriti sellele uue sertifikaadi asemel, mis hakkab kehtima allkirjade vormistamiseks alates oktoobrist 2025. Fedora Rawhide'i hoidlasse, mille p\u00f5hjal luuakse Fedora 45 versioon, on juba lisatud uuendatud shim, mis on sertifitseeritud mitme v\u00f5tmega, et tagada maksimaalne \u00fchilduvus seadmetega (saab kasutada nii vana p\u00fcsivara puhul, millel ei ole uue sertifikaadi avalikku v\u00f5tit, kui ka p\u00fcsivara puhul, millel ei ole vana sertifikaadi avalikku v\u00f5tit).<\/p>\n
Kuigi Microsofti sertifikaadi kehtetuks muutmine ei peaks m\u00f5jutama laadimise toimivust, soovitavad Fedora arendajad kasutajatel v\u00e4rskendada Secure Boot v\u00f5tme andmebaasi, kui nende seadmete jaoks on saadaval uusi p\u00fcsivara versioone. S\u00fcsteemi laadimise kontrollimiseks UEFI Secure Boot re\u017eiimis saab kasutada k\u00e4sku mokutil \u2014sb-state<\/code>, ja olemasolevate avatud v\u00f5tmete loendi kuvamiseks p\u00fcsivara jaoks mokutil \u2014db \u2014short<\/code>. Shim'i kaitsekihti allkirjastatud v\u00f5tmete vaatamiseks saab k\u00e4ivitada k\u00e4sku sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi<\/code>, eelnevalt paigaldades paketi pesign. P\u00fcsivara uuendamise olemasolu ja selle installimise kontrollimiseks saab k\u00e4ivitada k\u00e4sku sudo fwupdmgr update<\/code>. <\/p>\n
J\u00e4rgmine shim-i kiht saab olema allkirjastatud ainult uue Microsofti sertifikaadiga ja p\u00fcsivara uuendamine on vajalik oma s\u00fcsteemide selle muudatusega ettevalmistamiseks. Shim-i uuendus v\u00f5idakse v\u00e4lja anda, kui tuvastatakse haavatavusi ja t\u00f5siseid vigu, mis v\u00f5ivad ilmuda nii kuu kui ka aasta p\u00e4rast. Shim-i olemasolu jooksul on projekti k\u00e4igus leitud kriitilisi haavatavusi, samas kui viimane raport shim-i turvaprobleemidest avaldati vaid paar p\u00e4eva tagasi. <\/p>\n
Aruandes on v\u00e4lja toodud kaks hiljuti tuvastatud haavatavust CVE-2026-8863 ja \nCVE-2026-10797, mis v\u00f5imaldavad l\u00e4biviimist oma koodi varajases laadimisfaasis enne operatsioonis\u00fcsteemile \u00fcleandmist, m\u00f6\u00f6da p\u00e4\u00e4seda UEFI Secure Boot kaitset ja realiseerida allkirjastamata digitaalsete allkirjastatavate komponentide laadimist. Probleemid m\u00f5jutavad shim-i versioone kuni 0.9 v\u00e4ljaanne, mis on koostatud enne 2016. aastat. R\u00fcnnakule on vastuv\u00f5tlikud v\u00e4ga vanad s\u00fcsteemid, nagu \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 ja openSUSE shim 0.9. Shim-i kihid kuni 0.9 versioonini on lisatud t\u00fchistatud digitaalsete allkirjade andmebaasi DBX (UEFI Forbidden Signature Database) ja DBX-i s\u00fcsteemi uuendamisel ei saa neid kasutada UEFI Secure Boot re\u017eiimis k\u00e4ivitamiseks. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"