{"id":182058,"date":"2026-06-14T14:48:26","date_gmt":"2026-06-14T12:48:27","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux"},"modified":"2026-06-14T14:48:26","modified_gmt":"2026-06-14T12:48:27","slug":"istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/istekaet-vremya-zhizni-sertifikata-kotorym-zaveren-zagruzchik-dlya-uefi-secure-boot-v-distributivah-linux","title":{"rendered":"Wygasa czas wa\u017cno\u015bci certyfikatu, kt\u00f3ry zatwierdza bootloader dla UEFI Secure Boot w dystrybucjach Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Tw\u00f3rcy Fedora Linux wyja\u015bnili sytuacj\u0119 zwi\u0105zan\u0105 z wyga\u015bni\u0119ciem pod koniec czerwca certyfikatu Microsoft, u\u017cywanego do podpisywania cyfrowego warstwy Shim, stosowanej do weryfikowania uruchamiania dystrybucji Linux w trybie UEFI Secure Boot. Przej\u015bcie na nowy certyfikat powinno przebiega\u0107 niezauwa\u017calnie dla u\u017cytkownik\u00f3w, poniewa\u017c faktyczne wyga\u015bni\u0119cie certyfikatu spowoduje jedynie niemo\u017cno\u015b\u0107 jego u\u017cycia do tworzenia nowych podpis\u00f3w. Podczas uruchamiania UEFI Secure Boot wa\u017cno\u015b\u0107 certyfikatu nie jest sprawdzana i ma znaczenie tylko odwo\u0142anie skompromitowanych certyfikat\u00f3w. <\/p>\n
Istniej\u0105ce systemy bez zainstalowanej aktualizacji shim b\u0119d\u0105 kontynuowa\u0107 uruchamianie, dop\u00f3ki klucz publiczny certyfikatu nie zostanie usuni\u0119ty z pami\u0119ci flash lub nie zostanie umieszczony na li\u015bcie odwo\u0142anych certyfikat\u00f3w UEFI (DBX). Klucz Microsoft s\u0142u\u017cy tylko do podpisywania warstwy shim, kt\u00f3ra zawiera publiczny klucz dystrybucji, u\u017cywany do weryfikacji komponent\u00f3w uruchamiaj\u0105cych, takich jak bootloader GRUB2, j\u0105dro Linux, modu\u0142y j\u0105dra i procesy u\u017cywane podczas uruchamiania, takie jak fwupd. Takie podej\u015bcie pozwala na weryfikowanie w Microsoft tylko zmian w warstwie shim i samodzielne zapewnienie weryfikacji procesu uruchamiania dystrybucji.<\/p>\n
Certyfikat Microsoft do weryfikacji sprz\u0119tu firm trzecich dla UEFI Secure Boot obowi\u0105zuje od 2011 roku. W 2023 roku na jego miejsce wygenerowano nowy certyfikat, kt\u00f3ry zacznie by\u0107 stosowany do tworzenia podpis\u00f3w od pa\u017adziernika 2025 roku. Do repozytorium Fedora Rawhide, na bazie kt\u00f3rego powstaje wydanie Fedora 45, dodano ju\u017c zaktualizowany shim, podpisany kilkoma kluczami, aby zapewni\u0107 maksymaln\u0105 kompatybilno\u015b\u0107 z hardwarem (mo\u017cna go u\u017cywa\u0107 zar\u00f3wno w starszych firmware'ach bez klucza publicznego nowego certyfikatu, jak i w firmware'ach bez klucza publicznego starego certyfikatu).<\/p>\n
Pomimo \u017ce wyga\u015bni\u0119cie certyfikatu Microsoft nie powinno wp\u0142yn\u0105\u0107 na dzia\u0142anie procesu rozruchu, deweloperzy Fedora zalecaj\u0105 u\u017cytkownikom aktualizacj\u0119 bazy danych z kluczami dla Secure Boot po pojawieniu si\u0119 nowych wersji oprogramowania uk\u0142adowego dla ich sprz\u0119tu. Aby okre\u015bli\u0107, czy system uruchamia si\u0119 w trybie UEFI Secure Boot, mo\u017cna u\u017cy\u0107 polecenia \"mokutil \u2014sb-state\", a do wy\u015bwietlenia listy dost\u0119pnych w oprogramowaniu uk\u0142adowym otwartych kluczy \u2014 \"mokutil \u2014db \u2014short\". Aby sprawdzi\u0107 klucze, kt\u00f3rymi podpisana jest warstwa shim, mo\u017cna uruchomi\u0107 polecenie \"sudo pesign -S -i \/boot\/efi\/EFI\/fedora\/shimx64.efi\", wcze\u015bniej instaluj\u0105c pakiet pesign. Aby sprawdzi\u0107, czy dost\u0119pne s\u0105 aktualizacje oprogramowania uk\u0142adowego i je zainstalowa\u0107, mo\u017cna wykona\u0107 polecenie \"sudo fwupdmgr update\". <\/p>\n
Nast\u0119pna wersja warstwy shim b\u0119dzie zatwierdzona tylko nowym certyfikatem Microsoft, a aktualizacja oprogramowania uk\u0142adowego jest konieczna do przygotowania system\u00f3w na t\u0119 zmian\u0119. Aktualizacja shim zostanie wydana w przypadku wykrycia luk w zabezpieczeniach i powa\u017cnych b\u0142\u0119d\u00f3w, co mo\u017ce nast\u0105pi\u0107 zar\u00f3wno za miesi\u0105c, jak i za rok. W czasie istnienia shim w projekcie wykryto krytyczne luki w zabezpieczeniach, przy czym ostatni raport dotycz\u0105cy problem\u00f3w z bezpiecze\u0144stwem w shim zosta\u0142 wydany zaledwie kilka dni temu. <\/p>\n
W raporcie zauwa\u017cono dwie niedawno wykryte luki w zabezpieczeniach CVE-2026-8863 i \nCVE-2026-10797, kt\u00f3re pozwalaj\u0105 na wykonanie w\u0142asnego kodu na wczesnym etapie rozruchu przed przekazaniem kontroli systemowi operacyjnemu, obej\u015bcie zabezpiecze\u0144 UEFI Secure Boot oraz uruchomienie niepodpisanych cyfrowo komponent\u00f3w j\u0105dra. Problemy te dotycz\u0105 wersji shim do wydania 0.9 w\u0142\u0105cznie, stworzonych przed 2016 rokiem. Atakowi podlegaj\u0105 bardzo stare systemy, takie jak \n RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10\/R9 oraz openSUSE z shim 0.9. Warstwy shim do wersji 0.9 w\u0142\u0105cznie zosta\u0142y dodane do bazy odwo\u0142anych podpis\u00f3w cyfrowych DBX (UEFI Forbidden Signature Database) i w przypadku aktualizacji DBX w systemie nie b\u0119d\u0105 mog\u0142y by\u0107 u\u017cywane do rozruchu w trybie UEFI Secure Boot. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"