Vypršení platnosti certifikátu zabezpečeného spouštění Windows a aktualizace certifikační autority

Co je zabezpečené spouštění?

Zabezpečené spouštění je funkce zabezpečení ve firmwaru založeném na rozhraní UEFI (Unified Extensible Firmware Interface), která pomáhá zajistit, aby během spouštěcí (spouštěcí) sekvence zařízení běžel jenom důvěryhodný software. Funguje tak, že ověřuje digitální podpis softwaru před spuštěním na sadě důvěryhodných digitálních certifikátů (označovaných také jako certifikační autorita nebo CA) uložených ve firmwaru zařízení. Zabezpečené spouštění rozhraní UEFI definuje, jak firmware platformy spravuje certifikáty, ověřuje firmware a jak se s tímto procesem komunikuje operační systém (OS). Další podrobnosti o rozhraní UEFI a zabezpečeném spouštění najdete v tématu Zabezpečené spouštění.

Zabezpečené spouštění bylo poprvé zavedeno v Windows 8, aby bylo v té době chráněno před vznikající hrozbou před spuštěním malwaru (známého také jako bootkit). V rámci inicializace platformy zabezpečené spouštění ověřuje moduly firmwaru před spuštěním. Tyto moduly zahrnují ovladače firmwaru UEFI (jako jsou optionové romy), zavaděče spouštění a aplikace. Jako poslední krok procesu zabezpečeného spouštění firmware ověří, jestli zabezpečené spouštění důvěřuje zavaděče spouštění. Pak firmware předá řízení zavaděče spouštění, který pak ověří, načte do paměti a spustí operační systém Windows.

Zabezpečené spouštění definuje důvěryhodný kód prostřednictvím zásad firmwaru nastavených během výroby. Změny této zásady, například přidání nebo odvolání certifikátů, jsou řízeny hierarchií klíčů. Tato hierarchie začíná klíčem platformy (PK), který obvykle vlastní výrobce hardwaru, následovaným klíčem KEK (Key Enrollment Key) (označovaným také jako klíč výměny klíčů), který může obsahovat klíč Microsoft KEK a další klíče KEK OEM. Databáze povolených podpisů (DB) a Databáze zakázaných podpisů (DBX) určují, který kód může běžet v prostředí UEFI před spuštěním operačního systému. Databáze zahrnuje certifikáty spravované Microsoftem a výrobcem OEM, zatímco databáze DBX je aktualizována Microsoftem o nejnovější odvolání. Databáze a DBX může aktualizovat libovolná entita s klíči KEK.

Dopad vypršení platnosti certifikátu zabezpečeného spouštění

Společnost Microsoft aktualizuje certifikáty zabezpečeného spouštění, které byly původně vydány v roce 2011, aby zařízení s Windows nadále ověřují důvěryhodný spouštěcí software. Platnost těchto starších certifikátů začne platit v červnu 2026. Zařízení, která neobdržela novější certifikáty 2023, se budou dál spouštět a fungovat normálně a budou se dál instalovat standardní aktualizace Windows. Tato zařízení však už nebudou moci přijímat nové bezpečnostní ochrany pro proces předčasného spouštění, včetně aktualizací Správce spouštění systému Windows, databází zabezpečeného spouštění, seznamů odvolání nebo zmírnění nově zjištěných ohrožení zabezpečení na úrovni spouštění. 

Postupem času to omezuje ochranu zařízení před vznikajícími hrozbami a může to ovlivnit scénáře, které spoléhají na důvěryhodnost zabezpečeného spouštění, jako je posílení zabezpečení bitlockeru nebo zaváděcí nástroje třetích stran. Většina zařízení s Windows obdrží aktualizované certifikáty automaticky a mnoho OEM poskytuje aktualizace firmwaru v případě potřeby. Udržování zařízení s těmito aktualizacemi v aktuálním stavu pomáhá zajistit, aby mohlo dál dostávat úplnou sadu bezpečnostních ochran, které má zabezpečené spouštění poskytovat.

Platnost certifikátů zabezpečeného spouštění Systému Windows vyprší v roce 2026

Od doby, kdy systém Windows zavedl podporu zabezpečeného spouštění, všechna zařízení s Windows nesla stejnou sadu certifikátů Microsoftu v klíčích KEK a DB. U těchto původních certifikátů se blíží datum vypršení platnosti a pokud má některou z uvedených verzí certifikátů, bude to mít vliv na vaše zařízení. Pokud chcete dál používat Windows a dostávat pravidelné aktualizace pro konfiguraci zabezpečeného spouštění, budete muset tyto certifikáty aktualizovat.

Terminologie

• KEK: Klíč registrace klíče

• CA: Certifikační autorita

• DB: Databáze podpisů zabezpečeného spouštění

• DBX: Databáze odvolaných podpisů zabezpečeného spouštění

Společnost Microsoft vydala aktualizované certifikáty, které zajišťují kontinuitu ochrany zabezpečeného spouštění na zařízeních s Windows. Microsoft bude spravovat proces aktualizace těchto nových certifikátů na významné části zařízení s Windows. Kromě toho nabídneme podrobné pokyny pro organizace, které spravují aktualizace vlastních zařízení.

Výzva k akci

Možná budete muset provést akci, která zajistí, že vaše zařízení s Windows zůstane zabezpečené i po vypršení platnosti certifikátů v roce 2026. Databáze zabezpečeného spouštění rozhraní UEFI i klíč KEK musí být aktualizovány odpovídajícími novými verzemi certifikátu 2023. Další informace o nových certifikátech najdete v tématu Pokyny k vytvoření a správě klíče zabezpečeného spouštění Windows. 

Vaše akce se budou lišit v závislosti na typu zařízení s Windows, které máte. V nabídce na levé straně vyberte typ zařízení a konkrétní akci, kterou musíte provést.