Når certifikater til sikker bootstart udløber på Windows-enheder

Hvad sker der, hvis certifikaterne udløber

Hvis enheden når udløbsdatoen uden de nye certifikater, vil den stadig starte og fungere normalt. Standard Windows-opdateringer fortsætter med at blive installeret. Enheden vil dog ikke længere kunne modtage ny sikkerhedsbeskyttelse til den tidlige startproces. Dette omfatter opdateringer til Windows Boot Manager, Secure Boot-databaser og lister over tilbagekaldte filer og rettelser til nyligt opdagede sårbarheder i startkæden.

Når nye trusler opstår, bliver en enhed i denne udløbne tilstand gradvist mindre beskyttet. Scenarier, der er afhængige af tillid til sikker bootstart (f.eks. BitLocker-hærdning, kodeintegritet på startniveau eller bootloadere fra tredjepart og alternativ-rommer), kan også blive påvirket, hvis de kræver opdateret tillid til sikker bootstart.

Hvad fortsætter med at fungere

• Enheden fortsætter med at starte normalt.

• Windows-opdateringer fortsætter med at installere, med undtagelse af startrelaterede sikkerhedskomponenter, der kræver de opdaterede certifikater.

• Brug af apps i hverdagen, netværk, browsing og de fleste funktioner i operativsystemet forbliver uændrede.

Hvad der ikke længere fungerer

• Nye beskyttelser til Sikker bootstart og Boot Manager kan ikke anvendes.

• Rettelser af sårbarheder til det tidlige startmiljø – f.eks. BitLocker-omgåelse af afhjælpninger eller tilbageførsel af sikker bootstart – vil ikke være tilgængelige.

• Nogle tredjepartskomponenter, der er afhængige af Microsoft Secure Boot-tillid, kan muligvis ikke opdateres, hvis de kræver nyere certifikatposter.

Sådan forbliver du beskyttet

De fleste personlige Windows-enheder modtager automatisk de nye certifikater til sikker bootstart via Microsoft-administrerede opdateringer. For enheder, der administreres af en organisation, skal it-administratorer følge Microsofts vejledning til sikker bootstart af certifikatopdatering. Nogle enheder kræver muligvis en opdatering af OEM-firmwaren for at anvende de nye certifikater korrekt. For alle enheder, personlige enheder eller organisationsadministrerede enheder skal du kontakte din OEM for at få oplysninger om påkrævede firmwareopdateringer, idet du skal være opmærksom på, at sådanne opdateringer muligvis kun er tilgængelige for enheder, der stadig er inden for deres supportperiode. At holde din enhed opdateret sikrer, at den fortsat modtager den fulde beskyttelse, som Sikker bootstart er designet til at give.

Bemærk: Sikker bootstart bør ikke deaktiveres for at omgå certifikatudløb. Deaktivering af sikker bootstart reducerer enhedsbeskyttelsen betydeligt, fjerner sikkerhedsforanstaltninger mod malware på startniveau og kan medføre nye sikkerheds- og overholdelsesrisici. Den anbefalede sti er at sikre, at enheden modtager de opdaterede certifikater til sikker bootstart 2023 og eventuelle påkrævede OEM-firmwareopdateringer.