Váš Linuxový počítač má problém so Secure Boot - čo urobiť ako prvé (a obísť, ktorému sa vyhnúť)

Secure Boot bol pre používateľov Linuxu vždy nepríjemnosťou, ale expirovanie certifikačných autorít Microsoftu z roku 2011 z toho robí skutočnú bolesť.

Kľúčové poznatky Linux-Terminal.com

Linux má nový problém so zabezpečeným spustením.
Ale nie je to ani zďaleka také zlé, ako niektorí tvrdia.
Tu je to, čo môžete urobiť na riešenie problému.

Na konci 2000-tych rokov sa počítačový firmware presúval z dedičného BIOS-u na UEFI (Unified Extensible Firmware Interface - Univerzálne rozšíriteľné rozhranie firmvéru). Spolu s tým prišiel aj Secure Boot. Tento bezpečnostný mechanizmus podporovaný spoločnosťou Microsoft bol navrhnutý tak, aby zastavil bootkity a malware na úrovni firmvéru, ktorý tradičná bezpečnosť operačného systému nedokázala okamžite detekovať. Secure Boot bol komplikovaný, ale plnil svoj účel. Pre ľudí, ktorí sa snažili nainštalovať a spustiť Linux na počítačoch s Windows, bolo toto nastavenie skutočnou nepríjemnosťou. A teraz, 14 rokov po tom, čo sa Secure Boot objavil na počítačoch s Windows 8, opäť má potenciál spôsobiť používateľom Linuxu skutočné bolesti hlavy.

Ešte raz sú niektorí milovníci Linuxu v panike, že „Microsoft zamyká Linux von!“ To však nie je pravda. Ako Microsoft uviedol, „Certifikáty Secure Boot mali vždy dátumy vypršania platnosti.“ Áno, áno, mali. Okrem toho, ako nedávno poznamenal Ed Bott, aj keď to pre používateľov Windows nie je ani zďaleka také otravné, niektorí ľudia môžu stále mať problémy s vypršaním platnosti certifikátov Secure Boot.

Dobrou správou je, že táto obava nie je apokalyptickou udalosťou pre Linux. Vaše existujúce systémy sa jedného rána neprebudia a neodmietnu spustiť len preto, že sa zmenil dátum. Ale je to pravdivý moment o tom, ako svet Linuxu spracovával Secure Boot viac ako desaťročie, a príležitosť pre používateľov prevziať väčšiu kontrolu, namiesto tichého dúfania, že Microsoft a OEM budú udržiavať svetlá zapnuté navždy.

Poďme sa pozrieť na to, čo sa vlastne deje, prečo je zapojený Linux a čo by ste mali robiť pred rokom 2026 a aj po ňom.

Starý kompromis vyprší

Aby ste pochopili prečo, musíte sa vrátiť do rokov 2011 až 2012, keď sa UEFI Secure Boot prvýkrát objavil na počítačoch pre masový trh. Cieľ dizajnu znel rozumne: zabrániť spusteniu nedôveryhodného kódu pred operačným systémom tým, že firmvér overí podpisy bootloaderov, jadier a voliteľných ROM.

V praxi však Microsoft efektívne definoval dôveryhodné koreňové certifikáty pre takmer každý spotrebiteľský počítač. Namiesto toho, aby vytvárali - alebo nechali používateľov vytvárať - Secure Boot kľúče a certifikáty, väčšina hardvérových výrobcov dodávala stroje s množstvom kľúčov a certifikátov vložených vo firmvéri. Väčšina týchto kľúčov a certifikátov bola "Microsoft 3rd‑party UEFI CA", ktorá mohla podpisovať bootloadery tretích strán. Distribúcie, ktoré chceli "len naštartovať" tieto systémy bez toho, aby museli požiadať používateľov o prepínanie zložitých prepínačov vo firmvéri, mali v podstate dve možnosti:

Inštrukcie pre používateľov na vypnutie funkcie Secure Boot.
Alebo sa hrať s tým a získať malý zavádzač prvej fázy (shim) podpísaný certifikačnou autoritou UEFI spoločnosti Microsoft.

Väčšina hlavných distribúcií Linuxu si vybrala shim. Matthew Garrett, známy programátor Linuxu, vytvoril prístup shim a stále sa používa.

Tento prístup bol pragmatickým kompromisom: Microsoft overuje shim, shim overuje zvyšok spúšťacieho reťazca Linuxu a používatelia nemusia ručne upravovať databázy kľúčov UEFI ani vypínať bezpečnostné funkcie.

Ten kompromis fungoval neuveriteľne dobre. Viac ako desať rokov ste si mohli kúpiť náhodný laptop, zapnúť Secure Boot a spustiť Fedora, Ubuntu, openSUSE, Debian, RHEL a ďalšie, všetko vďaka kľúču Microsoftu uloženému vo vašom firmvéri a binárke podpísanej Microsoftom v systémovej EFI partícii.

Ale certifikáty, na rozdiel od kompromisov, majú dátumy platnosti.

Čo vyprší v roku 2026?

Koreň dnešného dramatu spočíva v tom, že certifikáty Microsoftu z roku 2011, ktoré sa používajú na podpisovanie komponentov Secure Boot, sa blížia ku koncu ich oficiálnej platnosti. Niekoľko certifikátov Microsoft Secure Boot z obdobia roku 2011 dosiahne koniec svojej životnosti v roku 2026 v dvoch hlavných vlnách (v polovici roka a neskôr v roku).

Aby sa tento problém vyriešil, spoločnosť Microsoft vytvorila v roku 2023 novú sadu certifikátov Secure Boot a začala ich distribuovať výrobcom OEM a platformám. Aktualizácie firmvéru majú vykonávať tichú prácu: pridávať nové kľúče, zachovávať staré pre kompatibilitu a zabezpečiť, aby budúce komponenty spúšťania mohli byť overené.

Pre obchody používajúce len Windows je to väčšinou automatická aktualizácia. Pre svet Linuxu je to iný príbeh,

Keď ľudia počujú „uplynutie platnosti certifikátu,“ majú tendenciu si predstaviť niečo ako SSL certifikát: keď je po dátume „notAfter“, klienti odmietajú komunikovať so serverom. Tento mentálny model robí z roku 2026 niečo ako okraj priepasť: 24. júna príde a zrazu sa váš distribučný systém nespustí.

Secure Boot takto nefunguje. Ak váš firmware dnes už dôveruje Microsoft UEFI CA z roku 2011, takmer určite mu bude dôverovať aj potom, čo kalendár vkročí do obdobia expirácií. Existujúce inštalácie Linuxu, so svojimi súčasnými shim a bootloadermi, sa budú naďalej spúšťať ako vždy. Nič sa magicky nezničí o polnoci.

Tu je problém

Problém nie je vo vašej aktuálnej topánke; je vo vašej budúcej topánke. Ak firmvér staršieho počítača nikdy nezíska kľúče z roku 2023 a zvyšok sveta začne predpokladať, že tieto kľúče existujú, môžete sa ocitnúť uviaznutí v divnom limbe. Zatiaľ čo vaša existujúca inštalácia Linuxu sa stále spustí, nová alebo aktualizovaná distribúcia sa nespustí.

Dúfajme, že váš predajca počítača dodá firmvér s novými kľúčmi, distribúcie Linuxu aktualizujú svoje shimy, aby boli kompatibilné s novými kľúčmi, a všetko pôjde podľa plánu. Mali by sme mať také šťastie.

Tu je, čo treba urobiť:

1. Aktualizujte svoj firmvér

Každý významný dodávateľ už distribuuje aktualizácie, ktoré okrem iného pridávajú alebo upravujú kľúče Secure Boot v reakcii na certifikáty spoločnosti Microsoft z roku 2023 a nadchádzajúce vypršania platnosti. Na to, aby ste získali výhody, nemusíte poznať presné ID kľúčov; musíte sa uistiť, že váš systém tieto aktualizácie dostane.

Na typickom počítači s Linuxom tento prístup znamená skontrolovať stránku podpory vášho výrobcu pre aktualizácie BIOS/UEFI vydané za posledný rok alebo dva. Na mnohých systémoch môžete použiť aktualizačný mechanizmus firmvéru Linuxu, fwupd, na jeho spracovanie priamo vo vašej distribúcii. Na vykonanie tohto kroku spustite nasledujúce príkazy ako používateľ root:

fwupdmgr obnoviť
fwupdmgr get-updates
fwupdmgr aktualizácia

Ak je váš hardvér podporovaný, tieto kroky stiahnu firmware kapsuly a aktualizácie UEFI db/dbx, ktoré obsahujú nové certifikáty Microsoft Secure Boot. Po aktualizácii budete musieť reštartovať raz alebo dvakrát; firmware sa sám aktualizuje a tým je hotovo.

Na niektorých starších systémoch si možno budete stále musieť stiahnuť súbor .exe alebo .iso od dodávateľa a postupovať podľa jeho pokynov. Tento postup je otravný, ale je to jednorazová práca, ktorá vám zabezpečí roky plynulejšieho správania Secure Boot.

2. Skontrolujte, ako vaša distribúcia spracováva certifikáty

Väčšina bežných distribúcií Linuxu už zvážila vypršanie platnosti v roku 2026 a dospela k záveru, že nejde o núdzovú situáciu, ale o niečo, čo treba riešiť opatrne.

Mnohé distribúcie zosúladujú svoje buildy shimu a procesy podpisovania, aby zostali kompatibilné počas prechodu. Ak používate modernú verziu známej distribúcie a vaše firmvérové vybavenie je aktuálne, je veľká pravdepodobnosť, že „to jednoducho funguje“ bude naďalej pravdivé.

Pre vás je najjednoduchší test aj najpraktickejší:

Stiahnite aktuálne ISO zo svojej distribúcie a zapíšte ho na USB kľúč.
Na počítači s povoleným Secure Boot a čerstvo aktualizovaným firmvérom skúste spustiť systém z USB kľúča.
Ak to funguje bez problémov, vaša kombinácia kľúčov firmvéru a podpisovania distribúcie je v poriadku a môžete pokračovať.

Urobte tento test teraz raz, aby ste vedeli, ako vyzerá nový normál. Ak sa budúci obraz nepodarí spustiť so zapnutým Secure Boot, budete vedieť, či je regresia vo firmvéri (kľúče nie sú aktualizované), v obraze distribúcie alebo v nepríjemnej interakcii medzi týmito dvoma.

Mnohé z najpopulárnejších distribúcií Linuxu už riešili problém so Secure Boot. Red Hat zverejnil špeciálne pokyny týkajúce sa vypršania platnosti Secure Boot a udržiava RHEL/Fedora shim/bootloader zásobníky, ktoré sú podpísané a zosúladené s modelom dôveryhodnosti spoločnosti Microsoft. Rodina Ubuntu od Canonicalu už dlhodobo poskytuje plnú podporu Secure Boot. Súčasné inštalátory a jadrá Ubuntu sú podpísané v rámci existujúceho Microsoft 3. strany UEFI CA.

SUSE a openSUSE sú tiež pripravené na nové certifikačné autority (CA). Infrastruktúra Secure Boot Debiana je dôležitá, pretože jeho shim používajú mnohé distribúcie a bol vyvinutý tímom naprieč distribúciami. Niektoré Linuxové distribúcie, ako napríklad Arch a jeho príbuzní, však nepodporujú Secure Boot jednoducho.

Lákavé obchádzanie

Ak budete dosť dlho sedieť na linuxových fórach, uvidíte, že sa tá istá rada opakuje vždy, keď sa spomenie Secure Boot: "Ak vám spôsobuje problémy, jednoducho vypnite Secure Boot."

Chápem to. Urobil som to aj sám. Secure Boot bol problémom už od jeho prvého objavenia. Pre mnohých používateľov bola najjednoduchšia cesta to vypnúť a problém zmizne.

Nebezpečenstvo nastáva, keď sa dočasné riešenie stane trvalým. Ak je Secure Boot vypnutý, stratíte obranu Secure Boot proti rootkitom a podobným hrozbám. Zatiaľ čo rootkity typu „script‑kiddie“ sú menej bežné než pred dekádou, moderné rootkity na úrovni používateľov, jadra a dokonca aj hypervízora sú stále aktívne používané nielen zločincami, ale aj vysokokvalitnými útočníkmi. Rootkity zostávajú jednou z najnebezpečnejších tried malvéru, pretože sa zameriavajú na nepozorovanosť a pretrvávanie.

Je Secure Boot univerzálne riešenie? Nie. Nahrádza dobrú údržbu systému, aktualizácie a zálohovanie? Absolútne nie. Ale Secure Boot je významný štít a Linuxový ekosystém tvrdo pracoval, aby bol pre bežných používateľov väčšinou neviditeľný. Zahodenie Secure Boot len preto, že je dnes nepraktický, je chyba.

Tu, konkrétne, je to, čo by ste mali urobiť ohľadom expirovaných certifikátov.

Pre vaše počítače:

Aktualizujte firmware: Pred polovicou roku 2026 nainštalujte najnovšie aktualizácie BIOS/UEFI od svojho dodávateľa. Ak fwupd podporuje váš hardvér, používajte ho. Je to menej bolestivé ako obsluhovať nástroje Windows alebo zavádzateľné aktualizátory.
Potvrďte, že Secure Boot stále funguje: Uistite sa, že váš existujúci distribučný systém sa spúšťa správne s povoleným Secure Boot. Potom vyskúšajte aktuálny live image z toho istého distribučného systému. Ak obidve fungujú, ste v poriadku.
Ak môžete, nechajte Secure Boot zapnutý: Správajte sa k nemu ako k bežnej súčasti bezpečnostnej ochrany vášho systému. Ak niečo zlyhá, odlaďte to a dočasne ho podľa potreby vypnite, ale ľahko ho nezanechávajte.

Pre vaše servery:

Inventarizujte, čo máte: Poznačte si, ktoré zariadenia majú povolený Secure Boot a aký firmware používajú. Nepotrebujete prepracovanú databázu správy konfigurácie (CMDB); stačí tabuľka.
Štandardizujte na základnej verzii firmvéru: Vyberte aktuálne verzie firmvéru, ktoré obsahujú nové kľúče Secure Boot (poznámky k vydaniu od vášho dodávateľa môžu to spomenúť) a rozšírte ich naprieč vašou laboratóriou.
Skúste nové obrázky včas: Predtým, než upgradujete všetko na novú hlavnú verziu distribúcie, otestujte inštalátor a bootovací reťazec tejto verzie na reprezentatívnom systéme s povoleným Secure Boot a zachyťte prekvapenia na obetnom uzle.

Takže, stručne povedané, hoci je tento Secure Boot otravným problémom, nie je až taký zlý. Len sa uistite, že váš firmware je aktualizovaný a vaša Linuxová distribúcia je pripravená zvládnuť nové certifikáty, a všetko bude v poriadku.