Разработчики Fedora Linux разъяснили ситуацию вокруг истечения срока действия сертификата Microsoft, который используется для цифровой подписи загрузочного модуля Shim. Этот компонент необходим для работы механизма UEFI Secure Boot в дистрибутивах Linux. Как поясняют специалисты, завершение жизненного цикла сертификата не должно стать проблемой для рядовых пользователей, поскольку сам по себе факт истечения срока не делает загрузчик неработоспособным — он лишь ограничивает возможность создания новых подписей с его помощью.
Как работает UEFI Secure Boot и роль Shim
В процессе загрузки системы с активированным режимом UEFI Secure Boot проверка срока действия сертификата не проводится — критически важным является лишь наличие записи об отзыве скомпрометированных ключей в базе данных DBX (UEFI Forbidden Signature Database). Существующие системы продолжат загружаться в штатном режиме, пока открытый ключ сертификата не будет удален из прошивки материнской платы или внесен в «черный список».
Роль Shim заключается в том, что именно этот прослоечный загрузчик заверяется ключом Microsoft. Внутри него находится публичный ключ дистрибутива, который затем верифицирует GRUB2, ядро Linux, необходимые модули ядра и служебные процессы, такие как fwupd. Такая цепочка доверия позволяет вендорам Linux подписывать только обновления самого Shim, сохраняя полный контроль над безопасностью загрузки дистрибутива.
Переход на новый сертификат
Оригинальный сертификат Microsoft для заверения сторонних прошивок UEFI используется с 2011 года. На смену ему в 2023 году пришел новый стандарт, который стал применяться для подписей с октября 2025 года. В репозиторий Fedora Rawhide, ставший основой для Fedora 45, уже включен обновленный модуль Shim. Он содержит сразу несколько ключей для обеспечения максимальной совместимости: это позволяет загружать систему как на старых материнских платах, так и на современных устройствах, где поддержка старого сертификата уже может отсутствовать.
Рекомендации по обслуживанию системы
Хотя текущая ситуация не нарушает работоспособность ПК, разработчики рекомендуют обновлять базу ключей Secure Boot при получении новых версий прошивок оборудования. Для диагностики состояния системы доступны следующие инструменты:
- Проверка статуса Secure Boot:
mokutil --sb-state. - Просмотр ключей в прошивке:
mokutil --db --short. - Проверка подписи Shim:
sudo pesign -S -i /boot/efi/EFI/fedora/shimx64.efi(требуется установка пакета pesign). - Обновление прошивки:
sudo fwupdmgr update.
В будущих версиях Shim планируется полный переход на новый сертификат Microsoft. Поскольку проект регулярно выпускает патчи для устранения критических уязвимостей, обновление прошивки остается единственным надежным способом защиты.
Уязвимости в старых версиях Shim
Вопросы безопасности загрузчика остаются актуальными. Совсем недавно был опубликован отчет об уязвимостях CVE-2026–8863 и CVE-2026–10797. Эти бреши позволяют злоумышленникам выполнить произвольный код на этапе инициализации системы, обойти защиту Secure Boot и загрузить неподписанные компоненты ядра.
Уязвимости затрагивают прослойки Shim версии 0.9 и ниже, выпущенные до 2016 года. В зоне риска находятся устаревшие дистрибутивы, такие как:
- RedHat Enterprise Linux 7.2;
- CentOS 7.2;
- Oracle Linux 7.2;
- ROSA Linux R10/R9;
- openSUSE с shim 0.9.
На текущий момент данные версии Shim внесены в базу отозванных цифровых подписей DBX, что делает их использование в связке с современными базами отозванных ключей невозможным.
