Thorsten Leemhuis (acct. 4/4)

Reminder: Bleibt entspannt bezüglich der ablaufenden Zertifikate für #UEFI #SecureBoot, eure bestehenden #Linux-Installationen sollten alle weiterhin booten.

Vereinfacht gesagt stört sich nämlich kaum eine Firmware daran, wenn der Boot-Loader eine Signatur eines mittlerweile abgelaufenen Zertifikats trägt – anders als ein Webbrowser, der in so einem Fall den Besuch einer Webseite blockiert.

Im Detail gibt es naturgemäß doch einige Tücken, die euch über kurz oder lang ereilen könnten. Siehe dazu folgende Texte:

• https://fedoramagazine.org/expiration-of-microsoft-secure-boot-keys/
• https://wiki.debian.org/SecureBoot/CAChanges
• https://www.redhat.com/en/blog/expiration-secure-boot-signing-certificates-2026
• https://discourse.ubuntu.com/t/microsoft-uefi-ca-rotation-what-it-means-for-ubuntu-users-and-vendors/82652
• https://mjg59.dreamwidth.org/72892.html

Bug-Reports an Open-Source-Projekte[1] und Klagen vor Gericht haben hier was gemeinsam…

Naja, Erstere können immerhin eher #AI nutzen, um einen Bug report zusammenzufassen, denn die Folgen sind da weniger problematisch, wenn die AI dabei was wichtiges unterschlägt.

https://www.tagesschau.de/inland/gesellschaft/kuenstliche-intelligenz-justiz-100.html

[1] Schönes Beispiel von gestern: https://lore.kernel.org/all/8olbLgvDZvoYQa-7CIz4bp6BvuO9DbIzT4Wqoljx1hB6Vd7XaDw-GREier_L02Bq1ivjWfCjy9VlsGHZJesTnB8a3Gq7e7ETUwDpcv8BHbA%3D@pm.me/

[…] nicht mal den Namen des Linux-Erfinders hinbekommen[1]. [1] wird vermutlich bald korrigiert

Turns out I was wrong: auch sechs Tage später steht da noch der falsche Nachname. 🙄

Der Call for Papers für den #Tübix am 4.7. ist übrigens draußen[1]:

https://www.tuebix.org/callforpapers/

Du kannst in drei Geschmacksrichtungen zum Programm des Tübinger Linuxtags beitragen: Lightning Talks, Vorträge und Workshops.

Deadline für Einreichungen (außer Lightning Talks): 04.05.2026

[1] Und @tuebix@troet.cafe hat es nicht erwähnt, scheint mir.

#Tübix2026 #Linux #Konferenz

@schnedan@social.tchncs.de auch bei grün über die Ampel gehen ist nicht "100% safe" 😉

Im Zweifel sollte Secure Boot ausschalten und/oder BIOS-Reset das System wieder zum Booten bringen.

@schnedan@social.tchncs.de wenn du Secure Boot ausschaltest (das ist doch, was du meinst, oder), dann sollte auch alle Hard- und Software laufen (modulo Bugs und Inkompatibilitäten), denn dann sollten Option-ROM- und Boot-Loader-Signaturen nicht mehr geprüft werden.

RE: https://social.tchncs.de/@thleemhuisfoss/116493173825684626

Was machen meine Ex-Kollegen da eigentlich? Versuchen sie auszuloten, mit wie viel haarscharf aber eben doch daneben sie durchkommen, ohne, dass die Leser weglaufen?

Zitat aus [1] von heute: ""Aktualisierter Linux-Quellcode steht bereits seit rund zwei Wochen zur Verfügung. Greg Kroah-Hartman hat erste Patches für die Kernel 6.18.22, 6.19.12 und 7.0 angekündigt sowie weitere Backports in Aussicht gestellt. ""

• 7.0 (vor drei Wochen released) hat den Fix von Anfang an erhalten.
• 6.19.12 und 6.18.22 sind vor drei Wochen erschienen (und 6.19.y mittlerweile EOL)
• Alle anderen von Greg bzw. dem Stable Team gepflegten Serien haben den Patch kurz nach dem Public Disclosure erhalten, siehe zitierter Post.

[1] https://www.heise.de/news/Linux-Luecke-Copy-Fail-wird-bereits-angegriffen-11279850.html?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

@schnedan@social.tchncs.de wenn es automatisch angeboten wird, sollte das safe sein, denn der neuen KEK CA muss dazu von deinem HW-Hersteller signiert worden sein.

Aber hey, wir reden hier von Software und Updates, da ist nie was "100% safe" 🫣