내년이면 만료되는 시큐어 부트 인증서, 리눅스가 위험하다

2011년에 발급된 마이크로소프트의 시큐어 부트(Secure Boot) 인증서들이 2026년부터 줄줄이 만료된다. 대부분의 리눅스 배포판은 부팅 시 마이크로소프트가 서명한 'shim' 부트로더에 의존하는데, 이 서명 체계의 뿌리가 되는 인증서가 수명을 다하는 것이다. 핵심 문제는 펌웨어 안에 박혀 있는 KEK·DB 인증서를 갱신해야 한다는 점이다. 새 인증서는 펌웨어 업데이트나 fwupd 같은 도구로 배포되지만, 메인보드 제조사가 업데이트를 내놓지 않거나 사용자가 적용하지 않으면 신규 서명된 부트로더로는 부팅이 막히고, 반대로 갱신을 안 하면 향후 보안 패치를 못 받는 진퇴양난에 빠진다. 특히 한번 사면 오래 쓰는 서버·임베디드·산업용 장비가 직격탄이다. 리눅스 진영은 인증서 전환 시점과 호환성 문제로 골머리를 앓고 있다. 실무자라면 보유 장비의 펌웨어 업데이트 지원 여부와 fwupd 적용 가능성을 지금 점검해 두는 것이 안전하다.