Koniec ważności klucza Secure Boot – co to oznacza dla Linuksa?

Masz Linuksa z włączonym Secure Boot? Świetnie, ale przygotuj się na małe zamieszanie jesienią tego roku.

O co chodzi?

Microsoft wycofuje klucz podpisujący z 2011 roku, który chroni shim bootloader – ten mały komponent odpowiada za to, że Linux w ogóle startuje na maszynach z aktywnym Secure Boot. Nowy klucz jest gotowy od 2023 roku, ale wciąż miliony komputerów go nie mają.

Sam Microsoft przestanie używać starego klucza 11 września.

Czemu to ważne?

Jeśli masz już zainstalowanego Linuksa, raczej nic się nie stanie – Twoja dystrybucja podpisuje swój własny bootloader własnymi kluczami i te będą działać.

Problemy zaczną się tutaj:

• Świeża instalacja Linuksa na maszynie z Secure Boot
• Uruchamianie komputera z pendrive'a czy płyty
• Sytuacje, gdzie producent sprzętu olał aktualizacje

Richard Hughes, twórca LVFS, powiedział to wprost: KEK updaty idą w ~98% przypadków, db update w ~99%. Nawet 1% przy milionach użytkowników to sporo osób z problemami. Nie ma powodu do paniki, ale i nie ma co spoczywać na laurach.

Gdzie jest haczyk?

Problem nie tkwi w samych kluczach – chodzi o miejsce. Starsze UEFI mają ograniczoną przestrzeń na zmienne EFI. Czasem trzeba dosłownie "zdefragmentować" tę pamięć, przywracając BIOS do ustawień fabrycznych. Im starszy BIOS, tym większe ryzyko kłopotów.

Dla tych nieszczęśników z 1-2% droga wygląda tak: restart, reset BIOSu do defaults, powtórka aktualizacji.

Pomoc nadchodzi

Społeczność open source nie spała. LVFS i fwupd – narzędzia do aktualizacji firmware prosto z Linuksa – zostały wzmocnione pod kątem tej zmiany certyfikatów. Główne dystrybucje dostarczą shim z nowym podpisem Microsoftu, więc instalacja powinna przejść gładko.

Producenci wypychają KEK updaty, które pozwalają fwupd bezpiecznie dorzucić nowy certyfikat Microsoftu do bazy firmware'u. Na maszynach, gdzie producent dawno zapomniał o wsparciu, wyłączenie Secure Boot może być jedyną opcją.

Co robić teraz?

Jeśli zarządzasz systemami z Linuksem i Secure Boot:

1. Sprawdź swój setup zanim nadejdzie wrzesień
2. Zaktualizuj firmware jeśli producent coś wydał
3. Miej alternatywny sposób bootowania pod ręką
4. Przy nowych instalacjach po 11 września upewnij się, że nośnik używa aktualnego shim

Ekosystem open source przetrwał już podobne wygasania certyfikatów i tym razem raczej też się obejdzie. Ale jeśli zarządzasz flotą maszyn albo planujesz świeżą instalację za kilka miesięcy – teraz sprawdź czy firmware jest świeży i módl się, żeby producent jeszcze pamiętał o Twoim sprzęcie.

Dla developerów i startupów trzymających Linuksa w produkcji – dodaj to do listy maintenance. Kilka minut przygotowań teraz może oszczędzić nerwów później.

Trzymajcie się bezpiecznie – najlepiej z kluczami, które jeszcze nie wygasły.