Vývojári Fedory Linux objasnila situáciu súvisiacu s expiráciou certifikátu spoločnosti Microsoft, ktorý sa používal na digitálne podpisovanie vrstvy Shim na overené sťahovanie distribúcií, koncom júna Linux V režime UEFI Secure Boot. Prechod na nový certifikát by mal byť pre používateľov bezproblémový, pretože po uplynutí platnosti certifikátu bude iba nepoužiteľný na vytváranie nových podpisov. Počas bootovania UEFI Secure Boot sa dátum expirácie certifikátu nekontroluje a berie sa do úvahy iba zrušenie kompromitovaných certifikátov.
Existujúce systémy bez nainštalovanej aktualizácie shim sa budú naďalej spúšťať, kým sa verejný kľúč certifikátu neodstráni z firmvéru alebo sa neumiestni na zoznam zrušených certifikátov UEFI (DBX). Kľúč od spoločnosti Microsoft overuje iba zavádzaciu vrstvu shim, ktorá obsahuje verejný kľúč distribúcie, ktorý sa používa na overenie zavádzacích komponentov, ako je zavádzač a jadro GRUB2. Linux, moduly jadra a procesy používané počas bootovania, ako napríklad fwupd. Tento prístup umožňuje spoločnosti Microsoft overiť iba zmeny vo vrstve shim a nezávisle overiť proces bootovania distribúcie.
Certifikát od spoločnosti Microsoft na overovanie firmvéru tretích strán pre UEFI Secure Boot platí od roku 2011. Nový certifikát bol vygenerovaný v roku 2023 a na podpisy sa používa od októbra 2025. Do repozitára Fedora Rawhide, ktorý tvorí základ pre vydanie Fedora 45, už bol pridaný aktualizovaný shim overený viacerými kľúčmi na zabezpečenie maximálnej kompatibility hardvéru. (Môže sa použiť na staršom firmvéri bez verejného kľúča nového certifikátu aj na firmvéri bez verejného kľúča starého certifikátu.)
Hoci platnosť certifikátu spoločnosti Microsoft by nemala ovplyvniť funkčnosť bootovania, vývojári Fedory odporúčajú používateľom aktualizovať svoju databázu kľúčov Secure Boot, keď budú pre ich hardvér vydané nové verzie firmvéru. Ak chcete zistiť, či sa systém bootuje v režime UEFI Secure Boot, použite príkaz „mokutil --sb-state“ a na zobrazenie zoznamu verejných kľúčov prítomných vo firmvéri použite „mokutil --db --short“. Ak chcete zobraziť kľúče použité na podpisovanie vrstvy shim, spustite po nainštalovaní balíka pesign príkaz „sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi“. Ak chcete skontrolovať a nainštalovať aktualizáciu firmvéru, spustite príkaz „sudo fwupdmgr update“.
Ďalšia verzia vrstvy Shim bude certifikovaná iba novým certifikátom od spoločnosti Microsoft a na prípravu vašich systémov na túto zmenu je potrebná aktualizácia firmvéru. Aktualizácia Shim bude vydaná, ak sa objavia zraniteľnosti a závažné chyby, čo sa môže stať od mesiaca do roka. V projekte Shim boli počas jeho existencie objavené kritické zraniteľnosti a posledná správa o bezpečnostných problémoch v projekte Shim bola zverejnená len pred niekoľkými dňami.
Správa zdôraznila dve nedávno objavené zraniteľnosti, CVE-2026-8863 a
CVE-2026-10797, ktorý umožňuje spustenie kódu na začiatku procesu zavádzania predtým, ako sa riadenie prenesie na operačný systém, čím sa obíde ochrana UEFI Secure Boot a načítajú sa nepodpísané komponenty jadra. Tieto problémy sa týkajú verzií shim až do verzie 0.9 vrátane, vytvorených pred rokom 2016. Veľmi staré systémy, ako napríklad
RedHat Enterprise Linux 7.2, CentOS 7.2, Oracle Linux 7.2, ROSA Linux R10/R9 a openSUSE s shim 0.9. Vrstvy shim až do verzie 0.9 vrátane boli pridané do DBX (databáza zakázaných podpisov UEFI) a po aktualizácii DBX už nebude možné spustiť systém v režime UEFI Secure Boot.
Zdroj: opennet.ru
