heise+ | Auswirkungen der neuen Secure-Boot-Zertifikate für Linux

Ein Wendepunkt für UEFI Secure Boot

Das Sicherheitskonzept UEFI Secure Boot befindet sich in einer Phase des Wandels. Erstmals seit seiner Einführung vor rund 15 Jahren sind die von Microsoft bereitgestellten Zertifikate, die auch für die Signierung von Linux-Bootloadern genutzt werden, abgelaufen oder stehen kurz vor ihrem Ablaufdatum. Da in der Mehrheit der UEFI-BIOS-Versionen primär Microsoft-Zertifikate hinterlegt sind, ist dieser Vorgang für Linux-Distributionen von erheblicher Bedeutung.

Warum Microsoft-Zertifikate für Linux essenziell sind

Secure Boot dient dazu, die Integrität des Boot-Vorgangs sicherzustellen. Ohne diese Sicherheitsfunktion würde das BIOS jeden Bootloader und Betriebssystemkern ausführen, was das Risiko für die Installation von Schadsoftware massiv erhöht. Ein Angreifer könnte beispielsweise den Linux-Kernel durch eine manipulierte Version ersetzen, um Passwörter abzugreifen oder Hintertüren in das System einzubauen.

Da die meisten UEFI-Systeme ab Werk ausschließlich Microsoft-Zertifikate als vertrauenswürdig einstufen, sind Linux-Distributoren darauf angewiesen, ihre Bootloader von Microsoft signieren zu lassen. Nur so können sie auf Systemen mit aktivem Secure Boot starten.

Der Status Quo: Was bedeutet „abgelaufen“?

Das für Linux maßgebliche Zertifikat hat bereits Ende Juni seine Gültigkeit verloren. Für Windows-Systeme gibt es hingegen eine Übergangsfrist bis Oktober 2026. Wichtig für Anwender: Ein abgelaufenes Zertifikat bedeutet nicht zwangsläufig, dass das System sofort den Dienst versagt. Dennoch markiert dieser Zeitpunkt einen notwendigen Wechsel in der Praxis:

* **Umstellung der Signierung:** Künftige Linux-Bootloader werden ausschließlich mit den neuen Microsoft-Zertifikaten signiert.

* **Abhängigkeit von der Firmware:** Ob ein Linux-System nach dem Ablauf der alten Zertifikate weiterhin problemlos startet, hängt stark von der individuellen BIOS-Version des Rechners ab.

* **Zertifikatsverwaltung:** Es ist entscheidend, welche Zertifikate bereits im UEFI-Speicher hinterlegt sind, um die neuen Signaturen als gültig zu erkennen.

Herausforderungen für die Praxis

Die aktuelle Situation wird durch die Komplexität moderner Hardware-Konfigurationen verschärft. Besonders bei Dual-Boot-Systemen, auf denen Linux parallel zu Windows installiert ist, können sich die Auswirkungen unterscheiden. Wie genau die betroffenen Systeme auf die neuen Signaturen reagieren, hängt von der Implementierung des jeweiligen Mainboard-Herstellers ab.

Für Linux-Nutzer bedeutet dies, dass sie bei auftretenden Startproblemen prüfen sollten, ob ihre BIOS-Firmware aktuell ist und ob der Hersteller Updates bereitgestellt hat, die die neuen Zertifikate unterstützen. Eine generelle Panik ist nach aktuellem Stand nicht angebracht, da die Übergangsphase bereits in die Prozesse der Distributionen integriert wird. Dennoch sollten Anwender die Entwicklungen rund um ihre spezifische Hardware und Distribution aufmerksam verfolgen, um bei Inkompatibilitäten zeitnah reagieren zu können.