Cuando los certificados de arranque seguro expiran en dispositivos Windows

¿Qué sucede si los certificados expiran?

Si el dispositivo alcanza la fecha de expiración sin los nuevos certificados, seguirá iniciando y funcionando con normalidad. Standard se seguirán instalando las actualizaciones de Windows. Sin embargo, el dispositivo ya no podrá recibir nuevas protecciones de seguridad para el proceso de arranque anticipado. Esto incluye las actualizaciones del Administrador de arranque de Windows, las bases de datos de arranque seguro y las listas de revocación, así como correcciones de vulnerabilidades recién detectadas en la cadena de arranque.

A medida que surgen nuevas amenazas, un dispositivo con este estado expirado se vuelve progresivamente menos protegido. Los escenarios que dependen de la confianza del arranque seguro (como el protección de BitLocker, la integridad del código de nivel de arranque o los cargadores de arranque de terceros y las ROM de opción) también pueden verse afectados si requieren una confianza actualizada de arranque seguro.

Lo que sigue funcionando

• El dispositivo sigue iniciando con normalidad.

• Las actualizaciones de Windows siguen instalando, excepto los componentes de seguridad relacionados con el arranque que requieren los certificados actualizados.

• El uso diario de las aplicaciones, las redes, la exploración y la mayoría de las características del sistema operativo permanecen inalteradas.

Lo que ya no funciona

• No se pueden aplicar nuevas protecciones de Arranque seguro y Administrador de arranque.

• No estarán disponibles correcciones de vulnerabilidades para el entorno de arranque anticipado, como mitigaciones de omisión de BitLocker o revocaciones de arranque seguro.

• Es posible que algunos componentes de terceros que dependen de la confianza de arranque seguro de Microsoft no se actualicen si requieren entradas de certificado más recientes.

Cómo mantenerse protegido

La mayoría de los dispositivos Windows personales recibirán automáticamente los nuevos certificados de arranque seguro a través de actualizaciones administradas por Microsoft. Para los dispositivos administrados por una organización, los administradores de TI deben seguir las instrucciones de actualización de certificados de arranque seguro de Microsoft. Es posible que algunos dispositivos requieran una actualización de firmware oem para aplicar los nuevos certificados correctamente. Para cualquier dispositivo, personal o administrado por la organización, ponte en contacto con el OEM para obtener información sobre las actualizaciones de firmware necesarias, teniendo en cuenta que dichas actualizaciones solo pueden estar disponibles para los dispositivos que aún estén dentro de su período de soporte técnico. Mantener el dispositivo actualizado garantiza que siga recibiendo todas las protecciones que el arranque seguro está diseñado para proporcionar.

Nota: El arranque seguro no debe deshabilitarse para evitar la expiración del certificado. Deshabilitar el arranque seguro reduce significativamente la protección del dispositivo, quita las medidas de seguridad frente al malware de nivel de arranque y puede crear nuevos riesgos de seguridad y cumplimiento. La ruta recomendada es asegurarse de que el dispositivo recibe los certificados de arranque seguro de 2023 actualizados y las actualizaciones de firmware del OEM necesarias.