Linux Secure Boot İçin Geri Sayım Başladı

Secure Boot açıkken Linux kullanıyorsanız - ve muhtemelen çoğunuz bunun farkında bile değilsiniz - bir sonraki sistem kurulumunuzu berbat edebilecek bir son tarih kapıda. Linux'un UEFI Secure Boot ile çalışmasını sağlayan kritik ilk aşama bileşeni olan shim bootloader, emekliliğe ayrılmak üzere olan bir Microsoft anahtarı tarafından imzalanıyor.

Durum şu: 11 Eylül'de Microsoft, shim bootloader'ı doğrulamak için 2011'den kalma imzalama anahtarını kullanmayı bırakacak. Yedek anahtar aslında 2023'ten beri mevcut, ama işte sorun - milyonlarca sistemde bu yeni anahtar henüz yüklü değil. Bazı makinelerde ise bu yeni anahtarı almak için donanım satıcınızdan bir firmware güncellemesi gerekebilir ve o güncelleme belki hiç gelmeyecek.

Neden Önemli?

Mevcut Linux kurulumları olan çoğu kullanıcı için bu muhtemelen bir felaket değil. Dağıtımınızın bootloader'ı kendi anahtarlarıyla imzalanmış durumda ve bunlar sorunsuz çalışmaya devam edecek. Gerçek sorunlar şu durumlarda başlıyor:

• Secure Boot açık bir sistemde temiz Linux kurulumu yapmaya çalışmak
• Güncel olmayan firmware veritabanlarına sahip makinelerde kurulum medyasından boot etmek
• Satıcıların gerekli güncellemeleri henüz yayınlamadığı sınır durumları

LVFS (Linux Vendor Firmware Service) kurucusu Richard Hughes açıkça söyledi: "KEK güncellemeleri yüzde 98 başarı oranıyla dağıtılıyor, db güncellemesi ise yüzde 99 başarıyor - ama yüzde 1 bile milyonlarca kişiyle çarpılınca epeyce başarısızlık anlamına geliyor." Bu panik yaratacak bir durum değil, ama tamamen rahatlatıcı da değil açıkçası.

Asıl Sorun Nerede?

Sorun anahtarların kendisinin çökmesi değil - depolama alanı. Daha eski UEFI firmware'lerin EFI değişkenleri için ayrılmış sınırlı alanı var ve bu güncellemeleri kurmak bazen BIOS'u fabrika ayarlarına sıfırlamayı gerektiren bir "birleştirme" işlemi istiyor. Hughes'un belirttiğine göre: "BIOS ne kadar eskiyse, bu sorunla karşılaşma olasılığınız o kadar yüksek."

Sorun yaşayan şanssız yüzde 1-2'lik kesim için çözüm genellikle şu adımları içeriyor:

1. Yeniden başlatma
2. BIOS'u fabrika ayarlarına sıfırlama
3. Güncellemeyi tekrar deneme

LVFS Takviyesi Yolda

İyi haber, açık kaynak topluluğunun bu duruma hazırlandığı. LVFS ve fwupd projeleri - Linux'tan doğrudan sistem firmware'ini güncelleyen araçlar - bu sertifika yenilemelerini yönetmek için geliştirildi. Büyük çoğunlukla dağıtımlar, yeni Microsoft anahtarıyla imzalanmış güncellenmiş shim ikili dosyalarını gönderecek, yani bir sonraki işletim sistemi kurulumunuz sorunsuz geçmeli.

Satıcılar, fwupd'nin yeni Microsoft sertifikasını sisteminizin firmware veritabanına güvenle eklemesini sağlayan KEK (Key Exchange Key) güncellemelerini yayınlıyor. Satıcıların sessiz kaldığı sistemlerde ise Secure Boot'u tamamen kapatmak tek çıkar yol olabilir.

Şu An Ne Yapmalısınız?

Secure Boot'lu Linux sistemlerini yönetiyorsanız:

1. Eylül gelmeden mevcut durumunuzu kontrol edin
2. Satıcınız güncelleme yayınladıysa firmware'inizi güncelleyin
3. Her ihtimale karşı yedek boot seçeneklerinizi hazır tutun
4. Eylül sonrası yeni kurulumlar için, kurulum medyanızın güncellenmiş shim kullandığından emin olun

Açık kaynak ekosistemi daha önce de sertifika süre sonlanmalarını atlattı ve bu sefer de büyük ölçüde sorunsuz geçecek. Ama bir makine parkını yönetiyorsanız veya önümüzdeki aylarda temiz kurulum planlıyorsanız, şimdi firmware'in güncel olduğunu doğrulamanın tam zamanı - ve donanım satıcınızın hala sisteminizi desteklediğini ummanın zamanı.

Üretim ortamında Linux kullanan geliştiriciler ve girişimler için bu, bakım listesi eklenmeye değer bir madde. Şimdi birkaç dakika ayırarak ileride çılgın bir debug seansından kurtulabilirsiniz.

Güvende kalın - tercihen süresi dolmamış anahtarlarla.