Certificados Secure Boot de Linux: La fecha límite que debes conocer antes de septiembre
Se Agota el Tiempo para Secure Boot en Linux
Si estás ejecutando Linux con Secure Boot activado —y algo me dice que muchos de ustedes ni sabían que lo tenían activado— hay una fecha límite en el horizonte que podría complicarte la próxima instalación del sistema.
El problema viene por el lado del bootloader shim, ese componente crítico que funciona como puente entre Linux y el sistema UEFI Secure Boot. Resulta que este componente está firmado con una clave de Microsoft que está por caducar.
La Situación
El próximo 11 de septiembre, Microsoft dejará de utilizar una clave de firma de 2011 para autenticar el shim. Aunque la clave de reemplazo lleva disponible desde 2023, aquí está el detalle: millones de equipos todavía no la tienen instalada. Y en algunos casos, conseguir esa nueva clave podría necesitar una actualización de firmware que talvez nunca llegue de parte del fabricante.
¿Por Qué Debería Importarte?
Si ya tienes Linux funcionando, probablemente no verás grandes problemas. Tu distribución viene con su propio bootloader firmado, y ese debería seguir operando sin drama.
Los dolores de cabeza reales aparecen cuando:
- Intentas instalar Linux desde cero en un sistema con Secure Boot activo
- Arrancas desde medios de instalación en máquinas con bases de datos de firmware desactualizadas
- Te topas con esos casos extraños donde los proveedores no han enviado las actualizaciones necesarias
Richard Hughes, el creador de LVFS (Linux Vendor Firmware Service), lo dijo sin rodeos: las actualizaciones de KEK van con un éxito del 98%, y las de db rondan el 99%. Suena bien hasta que multiplicas ese 1% por millones de usuarios. No es para alarmarse, pero tampoco para dormir tranquilo.
¿Qué Es lo Que Falla Exactamente?
El problema no son las claves fallando. Es el espacio de almacenamiento. Los firmwares UEFI más antiguos tienen un límite bastante reducido para las variables EFI, y desplegar estas actualizaciones a veces requiere hacer una especie de "defragmentación" —básicamente resetting el BIOS a valores de fábrica.
Hughes lo Resume así: "Mientras más viejo sea tu BIOS, más probabilidades tienes de encontrarte con esto."
Para el desafortunado 1-2% que sí tendrá problemas, la solución suele ser bastante directa:
- Reiniciar
- Restablecer el BIOS a valores de fábrica
- Intentar la actualización de nuevo
La Caballería de LVFS al Rescate
Hay buenas noticias: la comunidad de código abierto lleva tiempo preparándose para esto.
Los proyectos LVFS y fwupd —herramientas que permiten actualizar el firmware del sistema directamente desde Linux— han sido mejorados para manejar estos relevos de certificados. La mayoría de las distribuciones importantes van a incluir binarios shim actualizados y firmados con la nueva clave de Microsoft, así que tu próxima instalación del sistema operativo debería funcionar sin problemas.
Los fabricantes están enviando actualizaciones de KEK (Key Exchange Key) que permiten a fwupd agregar el nuevo certificado de Microsoft a la base de datos de firmware de tu equipo. Para esos equipos donde el fabricante ya no da señales de vida, desactivar Secure Boot por completo podría ser el único camino viable.
¿Qué Deberías Hacer Ahora?
Si gestionas sistemas Linux con Secure Boot activado:
- Revisa tu configuración actual antes de que llegue septiembre
- Actualiza tu firmware si tu fabricante ha liberado actualizaciones
- Mantén opciones de arranque de respaldo disponibles por si acaso
- Para instalaciones nuevas después de septiembre, asegúrate de que tu medio de instalación use el shim actualizado
El ecosistema open source ya ha sobrevivido a expiraciones de certificados antes, y esta debería pasar sin mayores catástrofes. Pero si administras un parque de máquinas o tienes planeada una instalación fresca en los próximos meses, este es el momento de verificar que tu firmware esté al día —y de cruzar los dedos para que tu proveedor de hardware todavía dé soporte a tu equipo.
Para desarrolladores y startups que corren Linux en producción, esto merece un lugar en tu lista de mantenimiento. Unos minutos de preparación ahora podrían ahorrarte una sesión de debugging desesperada más adelante.
Mantente seguro por ahí —preferiblemente con claves que no hayan expirado.