Když na zařízeních s Windows vyprší platnost certifikátů zabezpečeného spouštění

Co se stane, když vyprší platnost certifikátů

Pokud vaše zařízení dosáhne data vypršení platnosti bez nových certifikátů, stále se spustí a bude fungovat normálně. Standardní aktualizace Windows se budou dál instalovat. Zařízení už ale nebude moct přijímat nové bezpečnostní ochrany pro proces předčasného spuštění. To zahrnuje aktualizace Správce spouštění systému Windows, databází zabezpečeného spouštění a seznamů odvolání a opravy nově zjištěných ohrožení zabezpečení ve spouštěcím řetězci.

Jakmile se objeví nové hrozby, zařízení v tomto stavu s vypršenou platností bude postupně méně chráněné. Scénáře, které se spoléhají na vztah důvěryhodnosti zabezpečeného spouštění (například posílení zabezpečení bitlockeru, integrita kódu na úrovni spouštění nebo zavaděče třetích stran a disky ROM s možnostmi), můžou být ovlivněny také v případě, že vyžadují aktualizovaný vztah důvěryhodnosti zabezpečeného spouštění.

Co dál funguje

• Zařízení se dál normálně spouští.

• Aktualizace Windows se budou dál instalovat, s výjimkou komponent zabezpečení souvisejících se spouštěním, které vyžadují aktualizované certifikáty.

• Každodenní používání aplikací, sítě, procházení a většina funkcí operačního systému zůstávají beze změny.

Co už nefunguje

• Nelze použít novou ochranu zabezpečeného spouštění a správce spouštění.

• Opravy ohrožení zabezpečení pro počáteční spouštěcí prostředí, jako jsou zmírnění rizik obejití bitlockeru nebo odvolání zabezpečeného spouštění, nebudou k dispozici.

• Některé komponenty třetích stran, které spoléhají na vztah důvěryhodnosti zabezpečeného spouštění Microsoftu, se nemusí podařit aktualizovat, pokud vyžadují novější položky certifikátu.

Jak zajistit ochranu

Většina osobních zařízení s Windows automaticky obdrží nové certifikáty zabezpečeného spouštění prostřednictvím aktualizací spravovaných Microsoftem. U zařízení spravovaných organizací by správci IT měli postupovat podle pokynů k aktualizaci certifikátu zabezpečeného spouštění od Microsoftu. Některá zařízení můžou vyžadovat aktualizaci firmwaru výrobce OEM, aby se nové certifikáty správně použily. V případě jakéhokoli zařízení, osobního nebo spravovaného organizací, požádejte výrobce OEM o informace o požadovaných aktualizacích firmwaru a mějte na paměti, že tyto aktualizace můžou být dostupné jenom pro zařízení, která jsou ještě v období podpory. Udržování zařízení v aktualizovaném stavu zajišťuje, že bude i nadále dostávat úplnou ochranu, kterou má zabezpečené spouštění poskytovat.

Poznámka: Zabezpečené spouštění by nemělo být zakázané, aby se obešlo vypršení platnosti certifikátu. Zakázání zabezpečeného spouštění výrazně snižuje ochranu zařízení, odstraňuje ochranu proti malwaru na úrovni spouštění a může vytvářet nová rizika pro zabezpečení a dodržování předpisů. Doporučenou cestou je zajistit, aby vaše zařízení obdrželo aktualizované certifikáty zabezpečeného spouštění 2023 a všechny požadované aktualizace firmwaru OEM.