{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"The lifetime of the certificate that certifies the bootloader for UEFI Secure Boot in Linux distributions is expiring","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De ontwikkelaars van Fedora Linux hebben de situatie verduidelijkt met betrekking tot het verstrijken van het Microsoft-certificaat eind juni, dat wordt gebruikt voor de digitale ondertekening van de Shim-laag, die wordt toegepast voor de geverifieerde opstart van Linux-distributies in UEFI Secure Boot-modus. De overstap naar een nieuw certificaat zou onopgemerkt moeten verlopen voor gebruikers, aangezien het be\u00ebindigen van de levensduur van het certificaat alleen zal betekenen dat het niet meer kan worden gebruikt voor het maken van nieuwe handtekeningen. Tijdens de opstart met UEFI Secure Boot wordt de geldigheid van het certificaat niet gecontroleerd en is alleen de intrekking van gecompromitteerde certificaten van belang. <\/p>\n
Bestaande systemen zonder de shim-update zullen blijven opstarten zolang de openbare sleutel van het certificaat niet uit de firmware wordt verwijderd of in de lijst van ingetrokken UEFI-certificaten (DBX) wordt geplaatst. Alleen de opstartlaag shim, die de openbare sleutel van de distributie bevat, wordt door Microsoft ondertekend en wordt gebruikt voor de ondertekening van op te starten componenten, zoals de GRUB2-bootloader, de Linux-kernel, kernelmodules en opstartprocessen zoals fwupd. Deze aanpak maakt het mogelijk om alleen wijzigingen in de shim-laag door Microsoft te ondertekenen en de verificatie van het opstartproces van de distributie zelf te waarborgen.<\/p>\n
Het Microsoft-certificaat voor het ondertekenen van third-party firmware voor UEFI Secure Boot is sinds 2011 van kracht. In 2023 is er een nieuw certificaat gegenereerd dat vanaf oktober 2025 wordt gebruikt voor het vormen van handtekeningen. In de Fedora Rawhide-repository, waarop Fedora 45 is gebaseerd, is al een bijgewerkte shim toegevoegd, die is ondertekend met verschillende sleutels om maximale compatibiliteit met hardware te waarborgen (deze kan worden gebruikt op zowel oudere firmware zonder de openbare sleutel van het nieuwe certificaat als op firmware zonder de openbare sleutel van het oude certificaat).<\/p>\n
Hoewel de vervaldatum van een Microsoft-certificaat geen invloed zou moeten hebben op de opstartfunctionaliteit, adviseren de ontwikkelaars van Fedora gebruikers om de database met sleutels voor Secure Boot bij te werken wanneer er nieuwe firmwareversies voor hun hardware beschikbaar komen. Om te controleren of het systeem in UEFI Secure Boot-modus is opgestart, kan de volgende opdracht worden gebruikt: «mokutil —sb-state». Voor het weergeven van de lijst met beschikbare open sleutels in de firmware kan de opdracht — «mokutil —db —short» worden uitgevoerd. Om de sleutels te bekijken waarmee de shim-laag is ondertekend, kan de opdracht «sudo pesign -S -i \\\/boot\\\/efi\\\/EFI\\\/fedora\\\/shimx64.efi» worden uitgevoerd, waarbij het pesign-pakket eerst moet worden ge\u00efnstalleerd. Voor het controleren van beschikbare firmware-updates en het installeren ervan kan de opdracht «sudo fwupdmgr update» worden uitgevoerd. <\/p>\n
De volgende versie van de shim-laag zal alleen worden ondertekend met een nieuw Microsoft-certificaat en firmware-updates zijn nodig om systemen voor te bereiden op deze wijziging. De shim-update zal worden uitgebracht in het geval van ontdekte kwetsbaarheden en ernstige fouten, wat zowel binnen een maand als binnen een jaar kan gebeuren. Gedurende het bestaan van shim zijn er kritieke kwetsbaarheden ontdekt, en het laatste rapport over beveiligingsproblemen met shim werd slechts enkele dagen geleden uitgebracht. <\/p>\n
In het rapport worden twee recent ontdekte kwetsbaarheden genoemd: CVE-2026-8863 en \nCVE-2026-10797, die het mogelijk maken om eigen code uit te voeren in een vroeg stadium van het opstartproces, voordat de controle aan het besturingssysteem wordt overgedragen, beveiliging van UEFI Secure Boot te omzeilen en het opstarten van niet-goedgekeurde digitaal ondertekende componenten van de kernel mogelijk te maken. Deze problemen treffen versie shim tot en met 0.9, die v\u00f3\u00f3r 2016 zijn aangemaakt. Zeer oude systemen, zoals \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 en openSUSE met shim 0.9, zijn kwetsbaar voor deze aanval. Shim-lagen tot en met versie 0.9 zijn toegevoegd aan de database van ingetrokken digitale handtekeningen DBX (UEFI Forbidden Signature Database) en kunnen, na een update van DBX, niet meer worden gebruikt voor opstarten in de UEFI Secure Boot-modus. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"