十年前签下的三张证书， [要在 2026 年集中到期]{f97316="f97316" solid="solid"} 了。这件事落到 Linux 发行版头上，就是一连串 shim 与文档的活。
```——解读 Steve McIntyre 的 Debian 公告
上周 Debian 项目里那位说得上话的老炮 Steve McIntyre（也就是前 Debian 项目领导人那个 Steve）在他的博客上发了一篇短文，把一件已经拖了快一年的事给拎出来------ [Microsoft 的 Secure Boot CA 证书要在 2026 年集中到期]{px="px"} ，这件事落到 Debian 上对应的用户侧文档，刚刚挂在 wiki.debian.org 上了。
原文短得只够做个公告，但背后的事挺值得讲一遍。这篇文章按 Steve 的原文做翻译 + 解读，把 CA 轮换这件事从「 [Windows 用户该担心啥]{b="b" solid="solid"} 」到「 [Linux 发行版为什么要折腾 shim]{b="b" solid="solid"} 」串起来。
本文看点
01
原文逐句翻译
02
CA 轮换到底动什么
03
Linux 发行版的活
01
TRANSLATION
### 原文逐句翻译（Steve McIntyre · 2026-06-05）
标题 / 来源
Secure Boot and Microsoft CA Rollover --- user-facing documentation
来源：blog.einval.com · /2026/06/05 · #secure_boot_ca_rollover_docs
我在 5 月 22 日那篇博文里给开发者和发行版写过一些建议，希望对大家有帮助。现在我又在 Debian wiki 上加了一份 **面向最终用户** 的文档：
REFERENCE
https://wiki.debian.org/SecureBoot/CAChanges
里面讲了 Debian 系统上 [怎么管证书更新、怎么检查一台机器是否需要更新、有几种方法可以把更新跑起来]{b="b" solid="solid"} 。如果你在跑 Secure Boot 系统，这事对你可能是要紧的。
虽然同样是这一波事件引起的，但这两份文档是写给不同人看的。新的这份文档我希望也能帮上忙。——Steve McIntyre, 2026 年 6 月 5 日 18:20 · 标签：debian / efi
02
BACKGROUND
### 翻译归翻译，CA 轮换到底在动什么
三张 2011 年的证书要到期
Microsoft 当年在 UEFI Secure Boot 这条链上签了三张证书，分别是：
1
Microsoft Corporation KEK CA 2011——Key Exchange Key，授权 Windows Update 给 DB（允许列表）/ DBX（禁止列表）推送新条目
2
Microsoft UEFI CA 2011——给 Windows Boot Manager 做签名
3
Microsoft Windows Production PCA 2011——给最终 bootloader 和内核镜像签名
这三张证书 [集中到期]{b="b" solid="solid"} ------前两张在 2026 年 6 月 27 日到期，最后一张在 2026 年 10 月 19 日到期。
替上去的是 2023 年签发的新证书
Microsoft 已经准备了对应的 2023 版证书：
- **Microsoft Corporation KEK CA 2023**
- **Windows UEFI CA 2023**
有效时间签到了 2038 年。新证书从 2026 年 5 月开始，陆续通过 Windows Update + OEM 固件更新两条路推给终端用户。
到期不更新会怎样
NOTE
机器不会突然开不了机——这是最先要讲清楚的事实。但你会逐步失去 bootkit 防护更新、Secure Boot 信任状态被冻结、BitLocker 等高级配置会回退。
**1. bootkit 防护更新**——新发现的 BlackLotus、BootHole 这类启动期漏洞的缓解补丁推不到你的机器上
**2. Secure Boot 信任状态被冻结**——DBX 黑名单没法再加新条目，相当于启动期免疫系统永远停在 2026 年
**3. BitLocker + 启动完整性这条链** 的硬化能力——部分高级配置依赖新的 trust entry，配置会回退
Windows 用户视角：Windows Update 开着就行；Linux 视角：事情要麻烦不少。
03
SHIM & VENDOR-DB
### Linux 发行版在忙什么
简化的 Secure Boot 信任链
. . . secure-boot-trust
OEM 平台密钥 (PK)
└─ Key Exchange Key (KEK)
├─ Signature DB (DB) ── 允许谁跑
└─ Forbidden DB (DBX) ── 禁止谁跑
新 KEK 是 2023 年的那张。 [所有想用 Secure Boot 启动的 Linux 发行版，必须让自己的 shim bootloader 被这张新 KEK 签过]{b="b" solid="solid"} ------否则新装机 + 新固件上直接拒签。
Debian 的解法：vendor-db + MOK
Debian 之前就走过这套------ [shim]{mono="mono" px="px"} 引导加载器由 Microsoft 用一条专门的「Linux Foundation shim 签名」链路签过。 [但这次 Microsoft 把这条签名链也卷进了 CA 轮换]{b="b" solid="solid"} ：
- shim 里的 vendor-db 列表要更新——把 2023 年的 KEK 和 Windows UEFI CA 2023 加进去
- 用户机器管理侧要 MOK（Machine Owner Key）支持
- 用户文档就是 Steve 这次挂上去的： [wiki.debian.org/SecureBoot/CAChanges]{mono="mono" px="px"}
用户能做什么
下面三条 [就够覆盖 99% 的 Debian/Ubuntu/Fedora 桌面用户]{b="b" solid="solid"} ：
01
检查证书
看机器用的是 2011 还是 2023
mokutil \--list-enrolled
02
触发固件更新
OEM 有更新就自动落
fwupdmgr update
03
重装 shim
Debian 专属
```bash
apt install --reinstall shim-signed
别自己用 mokutil \——import 引入第三方证书——那是给测试用的，跟这次 Microsoft 官方的轮换是两码事。
04
WHY DELAYED
为什么「会拖」，而不是「准时」
这事其实已经讨论了 [至少两年]{b="b" solid="solid"} 。Steve 早在 2024 年的 DebConf 上就讲过。拖的原因是：
1
OEM 节奏——很多 OEM 直到 2026 年初才把新证书塞进主板固件，更早写文档没人看得见
2
发行版节奏——shim 要重打、双重签名要给、新 shim 必须同时支持新旧 DB（向后兼容），这些要排进每个发行版的 freeze 窗口
3
用户文档——Steve 的两篇（一开发者、一最终用户）就是把这套节奏对得上
这件事 [没法 0 downtime]{e4e4e7="e4e4e7" font-weight:700="font-weight:700"} ------总有机器因为 OEM 不推固件 + 发行版没及时打包 shim，停在 2011 那条老链上。Debian 这次新文档就是给这批机器留的逃生口。
05
VERDICT
这不是小事，但也不是 0day
| 维度 | 评级 | 理由 |
|---|---|---|
| 普通 Windows 桌面 | 几乎无感 | Windows Update 自动推 |
| 普通 Linux 桌面 | 低风险 | 发行版会跟 shim，多数自动到位 |
| 服务器 / 旧固件 | 中等 | OEM 不推就停在那，等下一次换主板 |
| 安全研究 / 应急响应 | 中等 | bootkit 防护冻结约等于「未来 1-2 年的启动期 0day 不补」 |
不会爆炸，但这是 Secure Boot 信任链十年一次的换轨。该跟的跟，不跟的人下次换主板就解决了。
∞
REFERENCES & POSTSCRIPT
参考文献 & 写在最后
参考文献
[1] Steve McIntyre. Secure Boot and Microsoft CA Rollover - user-facing documentation. blog.einval.com, 2026-06-05. https://blog.einval.com/2026/06/05#secure_boot_ca_rollover_docs
[2] Steve McIntyre. Secure Boot and Microsoft CA Rollover. blog.einval.com, 2026-05-22.（面向开发者的前一篇文章）
[3] Debian Wiki. SecureBoot/CAChanges. https://wiki.debian.org/SecureBoot/CAChanges
[4] Microsoft. Secure Boot Certificate Authority expiration and 2023 updates. Microsoft Learn.（Microsoft 官方文档）
[5] Eclypsium. 2026 Microsoft Secure Boot CA Rollover——what you need to know. https://eclypsium.com/blog/（背景技术解读）
[6] Linux Foundation. shim bootloader signing process.（shim 签名链权威说明）
[7] Matthew Garrett. The Linux Foundation\'s Secure Boot story. mjg59 field notes.（前因背景）
「CA 轮换是 Secure Boot 体系「长出来的代价」——它的设计就是给证书生命周期留余地，让信任链可以不动整个生态就完成一次换轨。」
📌 如果你家或公司的 Linux 机器 BIOS 弹过「Secure Boot Violation」，这次就是为什么。
📌 如果你是做 Debian 包维护的，6 月 22 日之后的 freeze 窗口值得盯一下。
本文完。欢迎关注 LeisureLinux，获取更多深度技术解读。
END
我是 LeisureLinux ，热衷于分享 Linux 发行版与底层技术的深度观察。
如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。
[Secure Boot 被破了「14 年中的 13 年」：一个老 shim 的 14 年长寿秘史](https://mp.weixin.qq.com/s?__biz=MzA5NzgyNzA0MA==&mid=2650318747&idx=1&sn=3c2cf69a6dab2674d00c5fdad95c7eda&scene=21#wechat_redirect){linktype="2" localeditorid="kclo8ij42x7hn6t1q8" target="_blank" textvalue="Secure Boot 被破了「14 年中的 13 年」：一个老 shim 的 14 年长寿秘史"}\
