IT 之家 7 月 22 日消息，LWN 報(bào)道稱，微軟用于簽署安全啟動(dòng)（Secure Boot）啟動(dòng)加載程序（BootLoader）的安全密鑰將于 9 月 11 日到期，可能導(dǎo)致許多依賴該機(jī)制的 Linux 發(fā)行版無法通過驗(yàn)證。
Secure Boot 是統(tǒng)一可擴(kuò)展固件接口（UEFI）的安全標(biāo)準(zhǔn)，旨在確保設(shè)備僅啟動(dòng)制造商信任的軟件。其核心依賴四層密鑰體系，IT 之家匯總?cè)缦拢?/p>
平臺(tái)密鑰（PK）：由硬件廠商控制，用于授權(quán)更新其他密鑰
密鑰注冊密鑰（KEK）：管理簽名數(shù)據(jù)庫（DB）和吊銷數(shù)據(jù)庫（DBX）更新
簽名數(shù)據(jù)庫（DB）：存儲(chǔ)受信任的數(shù)字證書
吊銷數(shù)據(jù)庫（DBX）：記錄被撤銷的簽名
制造商需在出廠時(shí)將 DB、DBX 和 KEK 寫入固件非易失性存儲(chǔ)器 ( NV-RAM ) ，并鎖定編輯權(quán)限。除非獲得正確密鑰簽名，否則無法修改。
由于多數(shù)設(shè)備預(yù)裝 Windows，非 Windows 系統(tǒng)需通過三種方式適配 Secure Boot：
完全禁用 Secure Boot（如 NetBSD、OpenBSD）
用戶自建簽名密鑰
通過微軟簽名的 "shim" 橋接（多數(shù) Linux 發(fā)行版和 FreeBSD 采用此方案）
此次問題源于微軟將停用 2011 版密鑰簽署 shim。盡管 2023 版新密鑰已發(fā)布，但大量設(shè)備尚未預(yù)裝該證書，且更新依賴硬件廠商發(fā)布固件升級(jí)，很難覆蓋到 Linux 用戶。
