Истечение срока не сломает загрузку существующих систем, сертификат ещё долго останется в прошивке, а сама прошивка не проверяет дату истечения, ей важно только наличие сертификата в базе доверенных. Однако Microsoft больше не сможет подписывать новые версии shim старым ключом, поэтому будущие обновления shim (например, для исправления уязвимостей) потребуют наличия в системе нового сертификата 2023 года.
Дистрибутивы уже готовятся к этому. Fedora Rawhide (будущая Fedora 45) содержит shim, подписанный одновременно старым и новым сертификатами для максимальной совместимости. Red Hat выпустила обновлённый shim для RHEL 9 и 10, а для RHEL 8 обновление выйдет в июне. Новые виртуальные машины в облаках получат оба сертификата «из коробки», а старым может потребоваться пересоздание. Для физических систем рекомендуется установить обновление прошивки, когда оно станет доступно через
fwupdmgr update.Проверить состояние Secure Boot можно командой
mokutil --sb-state, а список ключей в прошивке — mokutil --db --short. При обновлении прошивки изменится значение PCR7, что может повлиять на автоматическую разблокировку LUKS-разделов через TPM: перед перезагрузкой необходимо перезапечатать ключи. Удалять старый сертификат из прошивки не нужно — он используется для подписи Option ROM и его удаление может привести к неработоспособности периферии.Linux / Линукс 🥸