¡Alerta Geek! Tu Linux Podría Dejar de Arrancar en 2025 (y cómo evitarlo)

¡Saludos, Agentes Geek! Hoy tenemos una noticia importante que podría afectar a muchos usuarios de Linux. Resulta que los certificados de arranque seguro (Secure Boot) firmados por Microsoft tienen fecha de caducidad, y se acerca peligrosamente.

¿Qué es Secure Boot y por qué debería importarte?

Secure Boot es una característica de la UEFI (Unified Extensible Firmware Interface), el sucesor del BIOS, diseñada para proteger el proceso de arranque de tu ordenador. Su objetivo es evitar que software malicioso se cargue antes que el sistema operativo. Para ello, verifica las firmas digitales del software de arranque.

El problema es que Microsoft es quien autoriza a los fabricantes a firmar el firmware con Secure Boot. Y como todo certificado, estos también caducan. Para los usuarios de Windows, la expiración está prevista para junio de 2026. Pero para los usuarios de Linux, ¡el tiempo apremia! Los certificados actuales expirarán en septiembre de 2025.

¿Qué significa esto para los usuarios de Linux?

Si tu ordenador utiliza Secure Boot (UEFI) y no tiene el nuevo certificado Windows UEFI CA 2023, podría dejar de arrancar. Esto se debe a que Linux utiliza un cargador llamado shim, firmado por Microsoft, para iniciar el sistema en equipos con Secure Boot activado.

Además, podrías experimentar:

• Problemas al actualizar el firmware de tu equipo (por ejemplo, al usar fwupd).
• Mensajes de advertencia en los gestores de software de tu distribución.

Soluciones: ¡No entres en pánico!

Afortunadamente, hay varias formas de mitigar este problema:

• Actualizar el firmware (BIOS/UEFI): Busca actualizaciones en la página web del fabricante de tu ordenador. Estas actualizaciones podrían incluir el nuevo certificado de Microsoft.
• Actualizar la base de claves KEK: Si tu firmware lo permite, puedes actualizar la base de claves KEK (Key Exchange Key).
• Desactivar Secure Boot: Como último recurso, puedes desactivar Secure Boot en la configuración de la UEFI. Sin embargo, esto no es recomendable si la seguridad es una prioridad para ti.
• Verificar si tu sistema ya incluye la nueva clave: Algunas distribuciones ya están preparadas para firmar con el nuevo certificado.

Solución paso a paso para Debian GNU/Linux

Si eres usuario de Debian, aquí tienes una guía detallada para comprobar tu estado y aplicar las soluciones necesarias:

1. Verificar si Secure Boot está activado

Abre una terminal y ejecuta:

sudo mokutil --sb-state

Esto te dirá si Secure Boot está activado, desactivado o si tu equipo no lo soporta. Si está desactivado o no soportado, ¡no tienes de qué preocuparte!

2. Ver las claves instaladas (PK, KEK, db)

Para ver las claves de la base de datos de arranque (db), ejecuta:

sudo mokutil --list-enrolled

Busca una línea similar a:

CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, ST=Washington, C=US

Si ves alguna clave con “2023” en el nombre o en la fecha de emisión, es probable que ya tengas la nueva clave instalada.

3. Verificar la versión del shim

Averigua la versión de tu bootloader shim:

shim --version

En Debian, shim está contenido en el paquete shim-signed. Para saber si tu versión de Debian (12 ó 13) tiene la versión correcta, ejecuta:

sudo apt update
apt-cache show shim-signed|grep Built

Deberías obtener:

Built-Using: shim (= 15.8-1)

¡Atención! Si tu versión es anterior a 15.7, es posible que esté firmada con el certificado que caduca en septiembre de 2025. Actualiza tu bootloader shim:

sudo apt update
sudo apt -y upgrade

Si no se actualiza, puedes reinstalarlo (ten en cuenta que depende de otros paquetes como grub-efi-amd64-bin y shim-helpers-amd64-signed):

sudo apt update
sudo apt -y install --reinstall shim-signed

4. Verificar con fwupd si hay actualizaciones de firmware

Comprueba si hay actualizaciones de firmware disponibles:

fwupdmgr get-devices
fwupdmgr refresh --force
fwupdmgr get-updates

Esto mostrará si el fabricante ofrece una actualización de firmware que incluya las nuevas claves de la UEFI.

5. Verificar el firmware UEFI de tu equipo

Para verificar si el firmware UEFI de tu equipo tiene instalada la nueva clave de Microsoft (UEFI CA 2023), puedes usar herramientas como sbkeysync, efitools, o incluso mokutil.

Método 1: Usar sbkeysync (recomendado)

sudo apt install sbkeysync
sudo sbkeysync --no-merge --dry-run

Deberías ver una línea similar a:

Found Microsoft Corporation UEFI CA 2023

Método 2: Usar efitools

sudo apt install efitools
sudo keytool -k

Busca una línea con:

CN=Microsoft Corporation UEFI CA 2023

Método 3: Usar mokutil (menos fiable)

sudo mokutil --list-enrolled

Resumen para Debian

Si aparece la línea Built-Using: shim (= 15.8-1) en el paquete shim-signed, estás cubierto. Solo necesitas asegurarte de que tu firmware UEFI tenga instalada la nueva clave de Microsoft.

¿Y si no aparece la clave 2023?

Es probable que tu firmware sea antiguo. Necesitarás una actualización de BIOS/UEFI desde la página del fabricante de tu equipo. Consulta con fwupdmgr para saber si hay actualizaciones disponibles.

Si no hay una actualización, deberás desactivar el modo de arranque seguro de tu equipo.

Conclusión

La caducidad de los certificados Secure Boot es un problema real que podría afectar a muchos usuarios de Linux. Pero con las herramientas y los pasos adecuados, puedes evitar que tu sistema deje de arrancar. ¡No esperes hasta el último minuto para tomar medidas!

Fuente: Solo con Linux