Gli sviluppatori di Fedora Linux hanno chiarito la situazione riguardante la scadenza, a fine giugno, del certificato Microsoft utilizzato per firmare digitalmente il layer Shim, impiegato per il boot verificato delle distribuzioni Linux in modalità UEFI Secure Boot. La transizione a un nuovo certificato dovrebbe avvenire senza problemi per gli utenti, poiché la scadenza del certificato comporterà solo l'impossibilità di utilizzarlo per creare nuove firme. Durante il boot in modalità UEFI Secure Boot, la validità del certificato non viene verificata e ha rilevanza solo in caso di revoca dei certificati compromessi.
I sistemi esistenti senza l'installazione dell'aggiornamento shim continueranno a caricarsi finché la chiave pubblica del certificato non verrà rimossa dal firmware o non sarà inserita nell'elenco dei certificati revocati UEFI (DBX). Solo il bootloader shim è firmato da Microsoft, in cui è presente la chiave pubblica della distribuzione utilizzata per firmare i componenti di avvio, come il bootloader GRUB2, il kernel Linux, i moduli del kernel e i processi di avvio, come fwupd. Questo approccio consente a Microsoft di firmare solo le modifiche nel bootloader shim e di garantire autonomamente la verifica del processo di avvio della distribuzione.
Il certificato Microsoft per la firma di firmware di terze parti per UEFI Secure Boot è attivo dal 2011. Nel 2023, un nuovo certificato è stato generato, che sarà utilizzato per la creazione di firme a partire da ottobre 2025. Il repository Fedora Rawhide, su cui si basa il rilascio di Fedora 45, ha già aggiunto un shim aggiornato, firmato con diverse chiavi per garantire la massima compatibilità con l'hardware (può essere utilizzato sia su firmware più vecchi senza la chiave pubblica del nuovo certificato, sia su firmware senza la chiave pubblica del vecchio certificato).
Sebbene la scadenza del certificato Microsoft non debba influenzare il funzionamento del boot, gli sviluppatori di Fedora raccomandano agli utenti di aggiornare il database delle chiavi per il Secure Boot quando vengono rilasciate nuove versioni del firmware per il loro hardware. Per determinare se il sistema è stato avviato in modalità UEFI Secure Boot, si può utilizzare il comando «mokutil —sb-state», mentre per visualizzare l'elenco delle chiavi pubbliche presenti nel firmware si può usare «mokutil —db —short». Per visualizzare le chiavi con cui è firmato il layer shim, è possibile eseguire il comando «sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi», dopo aver installato il pacchetto pesign. Per controllare la disponibilità di un aggiornamento del firmware e installarlo, si può eseguire il comando «sudo fwupdmgr update».
La prossima versione del layer shim sarà convalidata solo con un nuovo certificato Microsoft e l'aggiornamento del firmware è necessario per preparare i propri sistemi a questo cambiamento. L'aggiornamento dello shim sarà rilasciato nel caso vengano scoperte vulnerabilità e errori gravi, il che può avvenire sia tra un mese che tra un anno. Nel corso dell'esistenza dello shim nel progetto, sono state trovate vulnerabilità critiche, e l'ultimo rapporto sui problemi di sicurezza dello shim è stato rilasciato solo pochi giorni fa.
Nel rapporto sono state evidenziate due vulnerabilità recentemente scoperte CVE-2026-8863 e
CVE-2026-10797, che consentono l'esecuzione di codice personalizzato in una fase iniziale del caricamento, prima di trasferire il controllo al sistema operativo, di bypassare la protezione UEFI Secure Boot e di caricare componenti del kernel non firmati digitalmente. I problemi riguardano le versioni di shim fino alla 0.9 inclusa, create prima del 2016. Sono vulnerabili sistemi molto vecchi, come
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 e openSUSE con shim 0.9. I livelli shim fino alla versione 0.9 inclusa sono stati aggiunti al database delle firme digitali revocate DBX (UEFI Forbidden Signature Database) e, in caso di aggiornamento del DBX, non potranno essere utilizzati per il boot in modalità UEFI Secure Boot.
Fonte: opennet.ru
