배포판에서 UEFI 보안 부팅을 위한 부트로더를 검증하는 인증서가 만료됩니다. Linux

페도라 개발자 Linux 배포판의 검증된 다운로드에 사용되는 Shim 레이어의 디지털 서명에 사용되는 마이크로소프트 인증서가 6월 말에 만료되는 것과 관련된 상황을 명확히 했습니다. Linux UEFI 보안 부팅 모드에서는 인증서 만료로 인해 새 서명 생성이 불가능해지는 것 외에는 사용자에게 새로운 인증서로의 전환이 원활하게 이루어져야 합니다. UEFI 보안 부팅 모드에서는 인증서 만료일을 확인하지 않고, 손상된 인증서의 폐지만 고려합니다.

shim 업데이트가 설치되지 않은 기존 시스템은 펌웨어에서 인증서의 공개 키가 제거되거나 UEFI 인증서 폐지 목록(DBX)에 추가될 때까지 계속 부팅됩니다. Microsoft 키는 배포판의 공개 키가 포함된 shim 부팅 계층만 검증하며, 이 공개 키는 GRUB2 부트로더 및 커널과 같은 부팅 가능한 구성 요소를 검증하는 데 사용됩니다. Linux커널 모듈 및 fwupd와 같이 부팅 중에 사용되는 프로세스도 포함됩니다. 이 접근 방식을 통해 Microsoft는 shim 레이어의 변경 사항만 확인하고 배포판의 부팅 프로세스를 독립적으로 검증할 수 있습니다.

UEFI 보안 부팅용 타사 펌웨어 공증에 사용되는 Microsoft 인증서는 2011년부터 사용되어 왔습니다. 2023년에 새로운 인증서가 생성되었으며, 2025년 10월부터 서명에 사용되고 있습니다. 하드웨어 호환성을 극대화하기 위해 여러 개의 키로 공증된 업데이트된 shim이 Fedora 45 릴리스의 기반이 되는 Fedora Rawhide 저장소에 이미 추가되었습니다. (이 shim은 새 인증서의 공개 키가 없는 이전 펌웨어와 이전 인증서의 공개 키가 없는 펌웨어 모두에서 사용할 수 있습니다.)

Microsoft 인증서 만료는 부팅 기능에 영향을 미치지 않지만, Fedora 개발자는 하드웨어용 새 펌웨어 버전이 출시될 때 Secure Boot 키 데이터베이스를 업데이트할 것을 권장합니다. 시스템이 UEFI Secure Boot 모드로 부팅되는지 확인하려면 "mokutil --sb-state" 명령을 사용하고, 펌웨어에 있는 공개 키 목록을 표시하려면 "mokutil --db --short" 명령을 사용하십시오. shim 레이어 서명에 사용된 키를 보려면 pesign 패키지를 설치한 후 "sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi" 명령을 실행하십시오. 펌웨어 업데이트를 확인하고 설치하려면 "sudo fwupdmgr update" 명령을 실행하십시오.

Shim 레이어의 차기 버전은 새로운 Microsoft 인증서로만 인증되며, 이 변경 사항에 대비하려면 펌웨어 업데이트가 필요합니다. Shim 업데이트는 취약점이나 심각한 버그가 발견될 경우 배포될 예정이며, 배포 주기는 한 달에서 1년까지 다양할 수 있습니다. Shim 프로젝트 개발 과정에서 심각한 취약점이 발견된 바 있으며, 최근 Shim의 보안 문제에 대한 보고서는 불과 며칠 전에 발표되었습니다.

보고서는 최근 발견된 두 가지 취약점인 CVE-2026-8863과
CVE-2026-10797은 운영 체제로 제어권이 넘어가기 전 부팅 과정 초기에 코드 실행을 허용하여 UEFI 보안 부팅 보호를 우회하고 서명되지 않은 커널 구성 요소를 로드할 수 있도록 합니다. 이 문제는 2016년 이전에 생성된 0.9 릴리스까지의 shim 버전에 영향을 미칩니다. 매우 오래된 시스템, 예를 들어
레드햇 엔터프라이즈 Linux 7.2, CentOS 7.2, Oracle Linux 7.2, 로사 Linux R10/R9 및 openSUSE는 shim 0.9를 사용합니다. shim 레이어는 버전 0.9까지 DBX(UEFI 금지 서명 데이터베이스)에 추가되었으며, DBX가 업데이트되면 더 이상 UEFI 보안 부팅 모드로 부팅할 수 없습니다.

출처 : opennet.ru