{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Sta per scadere la validit\u00e0 del certificato che attesta il bootloader per UEFI Secure Boot nelle distribuzioni Linux.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli sviluppatori di Fedora Linux hanno chiarito la situazione riguardante la scadenza, alla fine di giugno, del certificato Microsoft utilizzato per firmare digitalmente il layer Shim, impiegato per il caricamento verificato delle distribuzioni Linux in modalit\u00e0 UEFI Secure Boot. Il passaggio a un nuovo certificato dovr\u00e0 avvenire senza che gli utenti se ne accorgano, poich\u00e9 di fatto la scadenza della vita del certificato comporter\u00e0 soltanto l'impossibilit\u00e0 di utilizzarlo per la creazione di nuove firme. Durante il caricamento in UEFI Secure Boot, la scadenza del certificato non viene verificata ed \u00e8 rilevante solo per il ritiro dei certificati compromessi. <\/p>\n
I sistemi esistenti senza l'aggiornamento shim continueranno a caricarsi finch\u00e9 la chiave pubblica del certificato non verr\u00e0 rimossa dal firmware o non sar\u00e0 inserita nella lista dei certificati revocati UEFI (DBX). Il layer di avvio shim \u00e8 firmato solo dalla chiave Microsoft, che contiene la chiave pubblica della distribuzione utilizzata per firmare i componenti caricati, come il bootloader GRUB2, il kernel Linux, i moduli del kernel e i processi impiegati durante il caricamento, come fwupd. Questo approccio consente a Microsoft di certificare solo le modifiche al layer shim e di garantire autonomamente la verifica del processo di caricamento della distribuzione.<\/p>\n
Il certificato Microsoft per la firma di firmware di terze parti per UEFI Secure Boot \u00e8 in vigore dal 2011. Nel 2023, \u00e8 stato generato un nuovo certificato, che sar\u00e0 utilizzato per la formazione delle firme a partire da ottobre 2025. Nel repository Fedora Rawhide, su cui si basa il rilascio di Fedora 45, \u00e8 gi\u00e0 stato aggiunto un shim aggiornato, firmato da pi\u00f9 chiavi per garantire la massima compatibilit\u00e0 con l'hardware (pu\u00f2 essere utilizzato sia su firmware pi\u00f9 vecchi senza la chiave pubblica del nuovo certificato, sia su firmware senza la chiave pubblica del vecchio certificato).<\/p>\n
Nonostante la scadenza del certificato Microsoft non dovrebbe influire sulla funzionalit\u00e0 di avvio, gli sviluppatori di Fedora raccomandano agli utenti di aggiornare il database delle chiavi per Secure Boot non appena sono disponibili nuove versioni del firmware per la loro attrezzatura. Per determinare se il sistema si \u00e8 avviato in modalit\u00e0 UEFI Secure Boot \u00e8 possibile utilizzare il comando mokutil --sb-state<\/span>, mentre per visualizzare l'elenco delle chiavi pubbliche presenti nel firmware \u2014 mokutil --db --short<\/span>. Per visualizzare le chiavi con cui \u00e8 firmato lo shim, \u00e8 possibile eseguire il comando sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi<\/span>, previa installazione del pacchetto pesign. Per verificare la disponibilit\u00e0 di aggiornamenti del firmware e la loro installazione, \u00e8 possibile eseguire il comando sudo fwupdmgr update<\/span>. <\/p>\n
La prossima versione dello shim sar\u00e0 firmata esclusivamente con un nuovo certificato Microsoft, e l'aggiornamento del firmware \u00e8 necessario per preparare i propri sistemi a questo cambiamento. L'aggiornamento dello shim sar\u00e0 rilasciato nel caso vengano scoperte vulnerabilit\u00e0 o gravi errori, che possono manifestarsi sia a un mese che a un anno di distanza. Durante il periodo di esistenza dello shim nel progetto sono state trovate vulnerabilit\u00e0 critiche, e l'ultimo rapporto su problemi di sicurezza riguardanti lo shim \u00e8 stato pubblicato solo pochi giorni fa. <\/p>\n
Nel rapporto sono state segnalate due vulnerabilit\u00e0 recentemente scoperte: CVE-2026-8863 e \nCVE-2026-10797, che consentono l'esecuzione di codice personalizzato all'inizio del processo di avvio, prima di trasferire il controllo al sistema operativo, di aggirare la protezione UEFI Secure Boot e di consentire l'avvio di componenti del kernel privi di firma digitale. I problemi interessano le versioni di shim fino alla versione 0.9 inclusa, rilasciate prima del 2016. I sistemi molto datati sono vulnerabili, come \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 e openSUSE con shim 0.9. Gli shim fino alla versione 0.9 inclusa sono stati aggiunti al database delle firme digitali revocate DBX (UEFI Forbidden Signature Database) e, in caso di aggiornamento del DBX, non saranno utilizzabili per l'avvio in modalit\u00e0 UEFI Secure Boot. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"