Spokojnie – Twoje systemy nie przestaną działać

Zacznę od najważniejszego: jeśli Twoje serwery z Red Hat Enterprise Linux uruchamiają się dzisiaj bez problemów, będą się uruchamiać również po 27 czerwca 2026 roku. Wygaśnięcie certyfikatu to nie jest moment, w którym nagle wszystko się wyłączy o północy. Co jednak się zmieni? Możliwość podpisywania nowych komponentów startowych systemu.

Dlaczego Secure Boot ma znaczenie

Secure Boot to mechanizm Microsoftu, który sprawia, że podczas uruchamiania systemu mogą startować tylko te jądra i loadery, które mają kryptograficzny podpis. Certyfikat z 2011 roku przez lata spisywał się bez zarzutu, ale certyfikaty mają swoje życie – i ten czas ucieka.

Co tak naprawdę może się zmienić

Tu warto rozróżnić dwie sytuacje:

• Istniejące, już zaufane komponenty: Te będą działać dalej. Wygaśnięcie certyfikatu nie cofa wstecznie podpisów, które były ważne w momencie ich utworzenia.

• Nowe komponenty startowe: Tutaj pojawia się pole do popisu. Kernels, shim loadery czy bootloadery podpisywane po dacie wygaśnięcia będą wymagały nowego klucza podpisującego.

Dla większości z was, którzy mają stabilne, sprawdzone systemy – codzienna praca nie zmieni się z dnia na dzień. Ale jeśli planujecie nowe wdrożenia, przebudowę serwerów czy aktualizację komponentów boot w nadchodzących miesiącach, warto mieć tę datę w kalendarzu.

Kwestia shima

Sprawa robi się ciekawsza, gdy przyjrzymy się shimowi – tej cienkiej warstwie między firmware'm a bootloaderem systemu operacyjnego. Red Hat utrzymuje własną wersję shima i trzymanie jej aktualnej to część dobrych praktyk.

Aktualizacje shima wchodzą standardowo w skład zwykłych aktualizacji systemowych. Jeśli więc masz w miarę aktualny RHEL, jesteś w dobrym punkcie wyjścia. Ale jeśli gdzieś tam stoi zapomniany serwer produkcyjny, którego nikt nie chce dotykać, bo "działa i nie ruszaj" – może warto w końcu zaplanować dla niego okienko konserwacyjne.

Co powinieneś zrobić

Praktyczna lista zadań:

1. Nie panikuj. Działające systemy nie znikną nagle.

2. Aktualizuj systemy. To nie tylko kwestia bezpieczeństwa – zaktualizowane systemy mają pakiety shima i bootloadera przygotowane na tę zmianę.

3. Zaplanuj nowe wdrożenia z wyprzedzeniem. Jeśli po czerwcu 2026 będziesz stawiać nowe instancje RHEL, upewnij się, że obrazy bazowe i nośniki instalacyjne są aktualne.

4. Przetestuj w środowisku staging. Jeśli masz środowiska testowe – sprawdź, czy twoje pipeline'y wdrożeniowe działają płynnie z aktualnymi pakietami.

5. Zadbaj o dokumentację. Wiedz, które systemy mają jakie wersje shima i bootloadera – to da ci jasny punkt odniesienia.

Podsumowanie

Wygasające certyfikaty bezpieczeństwa brzmią groźnie – tak samo jak poczucie, gdy nagle odkrywasz, że certyfikat SSL na produkcyjnej stronie wygasł. Ale w tym przypadku konsekwencje są znacznie bardziej ograniczone, niż mogłoby się wydawać.

Wygaśnięcie certyfikatu Secure Boot w 2026 to kontrolowane przejście, nie kryzys. Microsoft i Red Hat nad tym pracują, a ekosystem Linux miał lata na przygotowania. Twoja rola jest prosta: utrzymuj systemy w aktualności, obserwuj zmiany i testuj procesy wdrożeniowe.

Potraktuj to jako delikatny bodziec, żeby w końcu zaktualizować to środowisko stagingowe, które odkładasz od miesięcy. Przyszły Ty – i twoje bezpieczeństwo – będą wdzięczni.

Trzymajcie się bezpiecznie.