انتهاء صلاحية شهادة التمهيد الآمن ل Windows وتحديثات CA

ما هو التمهيد الآمن؟

Secure Boot هي ميزة أمان في البرامج الثابتة الموحدة المستندة إلى واجهة البرامج الثابتة الموسعة (UEFI) التي تساعد على ضمان تشغيل البرامج الموثوق بها فقط أثناء تسلسل تمهيد الجهاز (البدء). يعمل من خلال التحقق من التوقيع الرقمي لبرامج التمهيد المسبق مقابل مجموعة من الشهادات الرقمية الموثوق بها (المعروفة أيضا باسم المرجع المصدق أو CA) المخزنة في البرنامج الثابت للجهاز. كمعيار صناعي، يحدد UEFI Secure Boot كيفية إدارة البرنامج الثابت للنظام الأساسي للشهادات، ومصادقة البرامج الثابتة، وكيفية واجهات نظام التشغيل (OS) مع هذه العملية. لمزيد من التفاصيل حول UEFI والتمهيد الآمن، يرجى الاطلاع على التمهيد الآمن.

تم تقديم التمهيد الآمن لأول مرة في Windows 8 للحماية من تهديد البرامج الضارة الناشئة قبل التمهيد (المعروفة أيضا باسم bootkit) في ذلك الوقت. كجزء من تهيئة النظام الأساسي، يصادق Secure Boot وحدات البرامج الثابتة قبل التنفيذ. تتضمن هذه الوحدات برامج تشغيل البرامج الثابتة ل UEFI (مثل خيار ROMs) ومحملات التمهيد والتطبيقات. كخطوة أخيرة من عملية التمهيد الآمن، يتحقق البرنامج الثابت مما إذا كان Secure Boot يثق في محمل التمهيد. بعد ذلك، يمرر البرنامج الثابت التحكم إلى محمل التمهيد، والذي بدوره يتحقق، ويحمل في الذاكرة، ويبدأ تشغيل نظام التشغيل Windows.

يعرف Secure Boot التعليمات البرمجية الموثوق بها من خلال مجموعة نهج البرامج الثابتة أثناء التصنيع. يتم التحكم في التغييرات التي تطرأ على هذا النهج، مثل إضافة الشهادات أو إبطالها، بواسطة تسلسل هرمي للمفاتيح. يبدأ هذا التسلسل الهرمي بمفتاح النظام الأساسي (PK)، المملوك عادة من قبل الشركة المصنعة للأجهزة، متبوعا بمفتاح تسجيل المفتاح (KEK) (المعروف أيضا باسم مفتاح Exchange الرئيسي)، والذي قد يتضمن Microsoft KEK وKEK OEM أخرى. تحدد قاعدة بيانات التوقيع المسموح بها (DB) وقاعدة بيانات التوقيع غير المسموح بها (DBX) التعليمات البرمجية التي يمكن تشغيلها في بيئة UEFI قبل بدء تشغيل نظام التشغيل. تتضمن قاعدة البيانات شهادات تديرها Microsoft وشركة OEM، بينما يتم تحديث DBX بواسطة Microsoft بأحدث عمليات الإبطال. يمكن لأي كيان مع KEK تحديث DB وDBX.

تنتهي صلاحية شهادات Windows Secure Boot في 2026

منذ أن قدم Windows دعم التمهيد الآمن، حملت جميع الأجهزة المستندة إلى Windows نفس مجموعة شهادات Microsoft في KEK وDB. تقترب هذه الشهادات الأصلية من تاريخ انتهاء صلاحيتها، ويتأثر جهازك إذا كان يحتوي على أي من إصدارات الشهادة المدرجة. لمتابعة تشغيل Windows وتلقي تحديثات منتظمة لتكوين التمهيد الآمن، ستحتاج إلى تحديث هذه الشهادات.

المصطلحات

• KEK: مفتاح التسجيل الرئيسي

• CA: المرجع المصدق

• الديسيبل: قاعدة بيانات توقيع التمهيد الآمن

• DBX: قاعدة بيانات توقيع تم إبطال التمهيد الآمنة

أصدرت Microsoft شهادات محدثة لضمان استمرارية حماية التمهيد الآمن على أجهزة Windows. ستقوم Microsoft بإدارة عملية التحديث لهذه الشهادات الجديدة على جزء كبير من أجهزة Windows. بالإضافة إلى ذلك، سنقدم إرشادات مفصلة للمؤسسات التي تدير تحديثات أجهزتها الخاصة.

هام عند انتهاء صلاحية المراجع المصدقة 2011، لن تتمكن أجهزة Windows التي ليس لديها شهادات 2023 جديدة من تلقي إصلاحات الأمان لمكونات التمهيد المسبق التي تعرض أمان تمهيد Windows للخطر.

الحث على اتخاذ إجراء

قد تحتاج إلى اتخاذ إجراء للتأكد من أن جهاز Windows الخاص بك يظل آمنا عند انتهاء صلاحية الشهادات في 2026. يجب تحديث كل من UEFI Secure Boot DB وKEK بإصدارات شهادة 2023 الجديدة المقابلة. لمزيد من المعلومات حول الشهادات الجديدة، راجع Windows Secure Boot Key Creation and Management Guidance. 

هام بدون تحديثات، تخاطر أجهزة Windows الممكنة للتمهيد الآمن بعدم تلقي تحديثات الأمان أو الوثوق بمحملات التمهيد الجديدة التي ستخترق كل من قابلية الخدمة والأمان.

ستختلف إجراءاتك بناء على نوع جهاز Windows لديك. حدد من القائمة الموجودة على اليسار لنوع الجهاز والإجراءات المحددة التي تحتاج إلى اتخاذها.