{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Sta per scadere il termine di validit\u00e0 del certificato che firma il bootloader per UEFI Secure Boot nelle distribuzioni Linux.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli sviluppatori di Fedora Linux hanno chiarito la situazione riguardante la scadenza, a fine giugno, del certificato Microsoft utilizzato per firmare digitalmente il layer Shim, impiegato per il boot verificato delle distribuzioni Linux in modalit\u00e0 UEFI Secure Boot. La transizione a un nuovo certificato dovrebbe avvenire senza problemi per gli utenti, poich\u00e9 la scadenza del certificato comporter\u00e0 solo l'impossibilit\u00e0 di utilizzarlo per creare nuove firme. Durante il boot in modalit\u00e0 UEFI Secure Boot, la validit\u00e0 del certificato non viene verificata e ha rilevanza solo in caso di revoca dei certificati compromessi. <\/p>\n
I sistemi esistenti senza l'installazione dell'aggiornamento shim continueranno a caricarsi finch\u00e9 la chiave pubblica del certificato non verr\u00e0 rimossa dal firmware o non sar\u00e0 inserita nell'elenco dei certificati revocati UEFI (DBX). Solo il bootloader shim \u00e8 firmato da Microsoft, in cui \u00e8 presente la chiave pubblica della distribuzione utilizzata per firmare i componenti di avvio, come il bootloader GRUB2, il kernel Linux, i moduli del kernel e i processi di avvio, come fwupd. Questo approccio consente a Microsoft di firmare solo le modifiche nel bootloader shim e di garantire autonomamente la verifica del processo di avvio della distribuzione.<\/p>\n
Il certificato Microsoft per la firma di firmware di terze parti per UEFI Secure Boot \u00e8 attivo dal 2011. Nel 2023, un nuovo certificato \u00e8 stato generato, che sar\u00e0 utilizzato per la creazione di firme a partire da ottobre 2025. Il repository Fedora Rawhide, su cui si basa il rilascio di Fedora 45, ha gi\u00e0 aggiunto un shim aggiornato, firmato con diverse chiavi per garantire la massima compatibilit\u00e0 con l'hardware (pu\u00f2 essere utilizzato sia su firmware pi\u00f9 vecchi senza la chiave pubblica del nuovo certificato, sia su firmware senza la chiave pubblica del vecchio certificato).<\/p>\n
Sebbene la scadenza del certificato Microsoft non dovrebbe influenzare la funzionalit\u00e0 di avvio, gli sviluppatori di Fedora raccomandano agli utenti di aggiornare il database delle chiavi per il Secure Boot quando sono disponibili nuove versioni del firmware per il loro hardware. Per determinare se il sistema \u00e8 avviato in modalit\u00e0 UEFI Secure Boot, \u00e8 possibile utilizzare il comando mokutil --sb-state<\/code>; per visualizzare l'elenco delle chiavi pubbliche presenti nel firmware, utilizzare mokutil --db --short<\/code>. Per esaminare le chiavi con cui \u00e8 firmato il layer shim, \u00e8 possibile eseguire il comando sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi<\/code>, dopo aver installato il pacchetto pesign. Per controllare la disponibilit\u00e0 di aggiornamenti del firmware e installarli, \u00e8 possibile eseguire il comando sudo fwupdmgr update<\/code>. <\/p>\n
La prossima versione del layer shim sar\u00e0 convalidata solo con un nuovo certificato Microsoft e l'aggiornamento del firmware \u00e8 necessario per preparare i propri sistemi a questo cambiamento. L'aggiornamento dello shim sar\u00e0 rilasciato nel caso vengano scoperte vulnerabilit\u00e0 e errori gravi, il che pu\u00f2 avvenire sia tra un mese che tra un anno. Nel corso dell'esistenza dello shim nel progetto, sono state trovate vulnerabilit\u00e0 critiche, e l'ultimo rapporto sui problemi di sicurezza dello shim \u00e8 stato rilasciato solo pochi giorni fa. <\/p>\n
Nel rapporto sono state evidenziate due vulnerabilit\u00e0 recentemente scoperte CVE-2026-8863 e \nCVE-2026-10797, che consentono l'esecuzione di codice personalizzato in una fase iniziale del caricamento, prima di trasferire il controllo al sistema operativo, di bypassare la protezione UEFI Secure Boot e di caricare componenti del kernel non firmati digitalmente. I problemi riguardano le versioni di shim fino alla 0.9 inclusa, create prima del 2016. Sono vulnerabili sistemi molto vecchi, come \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 e openSUSE con shim 0.9. I livelli shim fino alla versione 0.9 inclusa sono stati aggiunti al database delle firme digitali revocate DBX (UEFI Forbidden Signature Database) e, in caso di aggiornamento del DBX, non potranno essere utilizzati per il boot in modalit\u00e0 UEFI Secure Boot. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"