Ein Meilenstein in der Linux-Geschichte ist passiert: Die Secure-Boot-Zertifikate, mit denen der Linux-Bootloader seit 15 Jahren signiert war, sind abgelaufen. Dies ist kein triviales Verwaltungsereignis, sondern ein bedeutsames technisches Szenario, das zahlreiche Systeme betreffen kann.
Secure Boot ist ein UEFI-Feature, das sicherstellt, dass nur vertrauenswürdige Bootcode ausgeführt wird. Dazu werden Bootloader mit Zertifikaten signiert. Die verwendeten Zertifikate hatten eine begrenzte Gültigkeitsdauer. Nach deren Ablauf können ältere Systeme mit strikten Secure-Boot-Policies den Linux-Bootloader möglicherweise nicht mehr starten.
Die Linux-Community und die beteiligten Distributoren haben diesen Übergang lange vorbereitet. Neue Zertifikate wurden beantragt und Bootloader neu signiert. Allerdings können ältere Linux-Installationen betroffen sein, die nicht automatisch aktualisiert werden. Besonders problematisch sind Server und eingebettete Systeme, die lange nicht neu gestartet werden.
Für KMU-IT-Infrastrukturen ist dies vor allem dann relevant, wenn Linux-Server oder Client-Systeme mit Secure Boot betrieben werden. Der Handlungsbedarf hängt vom Alter der Systeme und der konfigurierten Secure-Boot-Strictness ab. IT-Teams sollten überprüfen, welche Linux-Versionen im Einsatz sind und ob Kernel-Updates erforderlich sind, um neue Zertifikate zu verwenden. Bei kritischen Servern empfiehlt sich proaktives Testen von Updates in Test-Umgebungen, bevor sie produktiv deployiert werden. Distributoren wie Ubuntu, Debian und RHEL haben bereits Patches bereitgestellt.