När Microsofts äldre Secure Boot-certifikat från 2011 löper ut behöver Linuxvärlden ta nästa steg i övergången till en nyare signeringskedja. För de flesta användare sker förändringen i bakgrunden, men för Linuxdistributioner, installationsmedia och äldre datorer kan den bli avgörande. I grunden handlar det om något så enkelt – och viktigt – som att datorn måste lita på rätt nyckel för att Linux ska kunna starta säkert.

En gammal digital nyckel från Microsoft är på väg att gå ut. Det låter kanske som en teknisk detalj för firmware-utvecklare, men förändringen berör stora delar av Linux-världen. Orsaken är Secure Boot – den säkerhetsfunktion i moderna datorer som kontrollerar att rätt programvara startar när datorn slås på.

I juni löper Microsofts äldre UEFI CA-certifikat från 2011 ut. Det certifikatet har under många år varit en viktig del av kedjan som gör att Linuxdistributioner kan starta på datorer där Secure Boot är aktiverat. Nu behöver Linuxdistributionerna stegvis flytta över till den nyare Microsoft UEFI CA från 2023.

För vanliga användare innebär detta oftast ingen dramatik. En dator som startar Linux med Secure Boot i dag bör normalt fortsätta att starta även efter att det gamla certifikatet gått ut. Men övergången är ändå viktig, särskilt för nya installationsmedier, räddningsskivor, dual boot-system och äldre datorer.

Vad är Secure Boot?

Secure Boot är en säkerhetsfunktion i UEFI, den moderna ersättaren till det gamla BIOS-systemet. När datorn startar kontrollerar firmware att den första delen av startkedjan är signerad med en betrodd digital nyckel.

Man kan jämföra det med en dörrvakt vid datorns entré. Dörrvakten släpper bara in program som kan visa upp rätt legitimation. Om startprogrammet är signerat med en nyckel som datorn litar på får det fortsätta. Om inte, stoppas uppstarten.

Syftet är att hindra skadlig kod från att lägga sig tidigt i startprocessen, innan operativsystemet ens har hunnit laddas. Sådan kod kan annars vara mycket svår att upptäcka.

Varför fungerar Windows enklare?

På de flesta vanliga PC-datorer finns Microsofts Secure Boot-nycklar redan inlagda från fabrik. Det gör att Windows kan starta utan extra krångel, eftersom datorns firmware redan litar på Microsofts signering.

Linux har däremot ett annat problem. De flesta Linuxdistributioner är inte direkt betrodda av datorns firmware. Tillverkaren av datorn har normalt inte lagt in nycklar för Ubuntu, Fedora, Debian, Linux Mint eller andra distributioner.

För att lösa detta använder många Linuxdistributioner ett litet program som heter shim.

Shim – den lilla länken mellan Microsoft och Linux

Shim är en liten första startladdare som fungerar som en bro mellan datorns Secure Boot-system och Linuxdistributionens egna nycklar.

Så här fungerar det förenklat:

Datorns firmware litar på Microsofts nyckel.

Microsoft har signerat Linuxdistributionens shim.

Firmware startar shim eftersom signaturen är betrodd.

Shim kontrollerar sedan nästa steg, till exempel GRUB och Linuxkärnan.

GRUB och kärnan kan därefter starta Linux på ett säkert sätt.

På detta sätt kan Linux starta på datorer där Secure Boot är aktiverat, utan att varje enskild datortillverkare behöver lägga in nycklar för varje Linuxdistribution.

Vad händer när 2011-certifikatet går ut?

Det viktiga att förstå är att ett utgånget certifikat inte automatiskt betyder att allt slutar fungera. Certifikatet tas inte magiskt bort ur datorns firmware bara för att datumet passerar. Redan signerade och betrodda startladdare bör därför i många fall fortsätta fungera.

Det betyder att en befintlig Linuxinstallation, som redan fungerar med Secure Boot, normalt inte bör sluta starta enbart på grund av certifikatets utgångsdatum.

Problemen kan i stället uppstå i samband med övergången till den nya signeringskedjan. Nya installationsavbilder, nya versioner av shim, återställningsmedia och vissa äldre datorer kan behöva uppdaterade Secure Boot-databaser för att känna igen den nya Microsoft UEFI CA från 2023.

Varför kan det ändå bli problem?

Secure Boot bygger på en kedja av förtroende. Varje länk måste lita på nästa länk. Om datorns firmware inte känner igen den nyckel som har använts för att signera shim, stoppas processen redan i början.

Då spelar det ingen roll att Linuxkärnan eller GRUB är korrekt installerade. Om första länken i kedjan inte godkänns kommer datorn inte vidare.

Särskilt känsliga situationer kan vara:

Äldre datorer med föråldrade Secure Boot-databaser.

Nya Linuxinstallationsmedier som använder den nya 2023-signeringen.

Dual boot-system med både Windows och Linux.

Räddnings-USB och installationsstickor som inte har uppdaterats.

System där användaren manuellt har ändrat Secure Boot-nycklar.

Datorer där den gamla 2011-nyckeln tas bort för tidigt.

Det sista är särskilt viktigt. Att manuellt ta bort gamla nycklar ur Secure Boot-systemet kan göra att tidigare fungerande Linuxinstallationer inte längre startar.

Vad behöver Linuxdistributionerna göra?

Linuxdistributionerna behöver se till att deras shim-versioner signeras på rätt sätt för framtiden. Det innebär att de måste anpassa sig till Microsofts nyare UEFI CA från 2023 och se till att installationsmedia, uppdateringspaket och dokumentation följer med i övergången.

För stora distributioner som Ubuntu, Fedora, Debian, SUSE och andra är detta en viktig infrastrukturell förändring. Det handlar inte om en ny funktion som användaren direkt ser, utan om att själva startkedjan ska fortsätta fungera på moderna datorer.

Det är lite som att byta låssystem i ett stort hus. De flesta märker ingenting om bytet görs rätt, men om nycklarna inte passar kan någon plötsligt stå utanför dörren.

Vad bör vanliga användare göra?

För de flesta användare är rådet enkelt: håll systemet uppdaterat.

Installera uppdateringar från din Linuxdistribution.

Uppdatera shim-paket när distributionen erbjuder det.

Installera firmware- och UEFI-uppdateringar från datortillverkaren när sådana finns.

Använd nya installationsavbilder från distributionens officiella webbplats.

Undvik att manuellt ändra Secure Boot-nycklar om du inte vet exakt vad du gör.

Det är också klokt att inte använda gamla installationsstickor i flera år. Om du ska installera Linux på en ny dator med Secure Boot aktiverat bör du ladda ner en aktuell ISO-fil från distributionens officiella webbplats.

Secure Boot är inte bara ett Windows-problem

Det här visar också hur beroende Linuxvärlden fortfarande är av Microsofts roll i PC-ekosystemet. Även om Linux är ett fristående och öppet operativsystem måste det ofta passera genom en Microsoft-signerad startkedja för att fungera smidigt på vanliga konsumentdatorer med Secure Boot.

Det betyder inte att Linux är osäkert eller underordnat Windows. Det betyder snarare att PC-plattformen historiskt har standardiserats kring Microsofts nycklar, eftersom Windows dominerar marknaden.

Linuxdistributionerna har därför byggt praktiska lösningar för att fungera inom detta system. Shim är en sådan lösning.

Ingen panik – men en viktig övergång

Att Microsofts UEFI CA från 2011 löper ut är inte en katastrof. Det betyder inte att Linuxdatorer plötsligt slutar starta över en natt. Men det är en viktig övergång som Linuxdistributioner, hårdvarutillverkare och systemadministratörer behöver hantera på rätt sätt.

För användaren är det viktigaste att inte göra förhastade ändringar i Secure Boot-inställningarna. Låt distributionens uppdateringar sköta övergången, använd aktuella installationsmedier och se till att firmware hålls uppdaterad.

Secure Boot handlar i grunden om förtroende. När en gammal nyckel går ut måste en ny ta vid. Om kedjan hålls obruten kommer Linux fortsätta starta precis som tidigare – bara med en modernare grund för framtidens säkra uppstarter.

https://github.com/rhboot/shim