微软旧版安全启动证书本月到期，Linux 系统面临潜在风险

6月14日消息，科技媒体Linuxiac今天报道了一个值得关注的技术动向——微软的旧版安全启动证书即将在本月到期。而这件事，可能会给Linux生态带来一些连锁反应。

事件背景：2011版证书即将失效

事情要从2011年说起。当时微软推出了UEFI Certificate Authority机制。
这套证书体系此后一直被广泛用于PC的安全启动信任链中。

如今，2011版证书将在本月正式到期。这意味着各大Linux发行版必须把Shim引导加载器的签名流程进行迁移。
迁移的目标是2024年的UEFI CA证书体系。

对Windows用户的影响很小

对Windows用户来说，这次证书迁移几乎感觉不到存在。
原因在于绝大多数PC厂商在出厂时，就已经在固件中预装并信任了微软的签名密钥。
启动Windows时不需要额外操作。

Linux面临的特殊挑战

但Linux的情况就没这么简单了。
大多数Linux发行版无法直接获得PC固件的信任。
因此社区开发者采用了一条巧妙的路径：

• 先使用经过微软签名的Shim来获取固件信任。
• 再通过Shim去启动GRUB和Linux Kernel。

这套机制过去一直运转良好。
但证书到期之后，链条的头端就需要换个新钥匙了。

过渡期风险与应对建议

好消息是：即便2011年证书过期，大多数Linux发行版预计仍然可以正常启动。
原因在于，证书过期并不会自动清除固件里已有的旧密钥。
也不会撤销已经被信任的启动程序。

真正的风险集中在迁移过渡期——也就是从2011证书切换到2024证书的那段时间。
如果较老的PC、双系统设备，或者新版Linux安装镜像无法识别微软的2024证书，就可能在启动时遇到麻烦。

对普通用户来说，眼下最稳妥的办法就是保持系统更新：

• 确保Linux版本是最新的。
• Shim和UEFI固件也都更新到最新状态。

同时，千万不要手动去修改安全启动密钥——操作不当，系统就直接无法启动了。
这一点，值得特别留心。

《夸克》非常好用的免费AI浏览器

下载APP查看