{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Sertifikaat, millega UEFI Secure Booti laadija on kinnitatud, aegub Linuxi distributsioonides.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Fedora Linuxi arendajad selgitasid olukorda, mis on seotud Microsofti sertifikaadi, mida kasutatakse Shim'i digiallkiri t\u00f5endamiseks, aegumisega, mis toimub juuni l\u00f5pus. \u00dcleminek uuele sertifikaadile peaks kasutajatele olema m\u00e4rkamatult sujuv, kuna sertifikaadi aegumise l\u00f5petamine toob kaasa vaid selle, et uusi allkirju ei saa luua. UEFI Secure Boot'i laadimise ajal sertifikaadi kehtivust ei kontrollita ning t\u00e4htsus on ainult kompromiteeritud sertifikaatide tagasiv\u00f5tul. <\/p>\n
Olemasolevad s\u00fcsteemid, mis ei ole shim uuendamist saanud, j\u00e4tkavad k\u00e4ivitumist, kuni sertifikaadi avaliku v\u00f5tme eemaldamine p\u00fcsivara hulgast v\u00f5i selle lisamine UEFI tagasiv\u00f5tmise sertifikaatide nimekirja (DBX) on tehtud. Microsofti allkirjastatud on vaid shim laadimiskihis, milles on olemas distributsiooni avalik v\u00f5ti, mis on kasutusel laadimise komponentide, nagu GRUB2 laadija, Linuxi kernel, kerneli moodulid ja laadimisprotsessides, nagu fwupd, allkirjastamiseks. Selline l\u00e4henemine v\u00f5imaldab Microsoftis allkirjastada vaid muudatused shim laadimiskihis ning iseseisvalt tagada distributsiooni laadimisprotsessi verifitseerimise.<\/p>\n
Microsofti sertifikat UEFI Secure Booti kolmandate osapoolte pildifailide allkirjastamiseks on kehtinud alates 2011. aastast. 2023. aastal asendati see uue sertifikaadiga, mida hakati kasutama allkirjade loomiseks oktoobrist 2025. aastal. Fedora Rawhide'i hoidlas, mille p\u00f5hjal koostatakse Fedora 45 v\u00e4ljaanne, on juba lisatud uuendatud shim, mis on kinnitatud mitme v\u00f5tmega, et tagada maksimaalne \u00fchilduvus riistvaraga (seda saab kasutada nii vanade pildifailide puhul, millel ei ole uue sertifikaadi avatud v\u00f5tme t\u00e4iendusi, kui ka pildifailide puhul, millel ei ole vana sertifikaadi avatud v\u00f5tme t\u00e4iendusi).<\/p>\n
Hoolimata sellest, et Microsofti sertifikaadi aegumine ei tohiks m\u00f5juda s\u00fcsteemi k\u00e4ivitamise toimimisele, soovitavad Fedora arendajad kasutajatel v\u00e4rskendada Secure Boot v\u00f5tmete andmebaasi, kui nende riistvara jaoks on saadaval uusi p\u00fcsivara versioone. UEFI Secure Boot re\u017eiimis s\u00fcsteemi k\u00e4ivitamise m\u00e4\u00e4ramiseks saab kasutada k\u00e4sku mokutil --sb-state<\/code>, samas kui p\u00fcsivara avatud v\u00f5tmete loendi kuvamiseks kasutatakse k\u00e4sku mokutil --db --short<\/code>. Shim kihiga allkirjastatud v\u00f5tmete vaatamiseks saab k\u00e4ivitada k\u00e4su sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi<\/code>, eelnevalt installides paketi pesign. P\u00fcsivara v\u00e4rskenduse olemasolu ja selle installimist saab kontrollida, k\u00e4ivitades k\u00e4su sudo fwupdmgr update<\/code>. <\/p>\n
J\u00e4rgmine shim-kihiversioon allkirjastatakse ainult uue Microsofti sertifikaadiga ja firmware'i uuendamine on vajalik s\u00fcsteemide ettevalmistamiseks selleks muutuseks. Shim-uuendus vabastatakse haavatavuste ja t\u00f5siste vigade tuvastamisel, mis v\u00f5ib juhtuda kas \u00fche kuu v\u00f5i aasta jooksul. Shim'i olemasolu jooksul projektis on leitud kriitilisi haavatavusi, samas kui viimase shim-i turvaprobleemide raporti avaldasime vaid paar p\u00e4eva tagasi. <\/p>\n
Raportis m\u00e4rgiti kaks hiljuti tuvastatud haavatavust CVE-2026-8863 ja \nCVE-2026-10797, mis v\u00f5imaldavad koodi k\u00e4ivitada varajases laadimisfaasis enne operatsioonis\u00fcsteemile valitsemise edastamist, m\u00f6\u00f6da minna UEFI Secure Boot kaitset ning teostada allkirja all oleva mitteautentseeritud tuumakomponentide laadimist. Probleemid puudutavad shim'i versioone kuni 0.9 v\u00e4ljaandmiseni, mis on loodud enne 2016. aastat. R\u00fcnnakute ohtu on v\u00e4ga vanad s\u00fcsteemid, n\u00e4iteks \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 ja openSUSE shim 0.9 abil. Shim kihtidele kuni versioonini 0.9 on lisatud t\u00fchistatud digiallkirjade andmebaasi DBX (UEFI Forbidden Signature Database) ning DBX-i v\u00e4rskendamisel ei saa neid seadistusi kasutada UEFI Secure Boot re\u017eiimis. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"