שאלות נפוצות אודות תהליך העדכון של אתחול מאובטח

לאחר התפוגה של אישורי האתחול המאובטח, מכשירים שלא קיבלו את אישורי 2023 החדשים ימשיכו להתחיל ולפעול כרגיל, ועדכוני Windows סטנדרטיים ימשיכו להתקין. עם זאת, מכשירים אלה לא יוכלו עוד לקבל הגנות אבטחה חדשות עבור תהליך האתחול המוקדם, כולל עדכונים למנהל האתחול של Windows, מסדי נתונים של אתחול מאובטח, רשימות ביטול או צמצום סיכונים עבור פגיעויות ברמת האתחול שהתגלו לאחרונה.

עם הזמן, הדבר מגביל את ההגנה של המכשיר מפני איומים מתעוררים ועלול להשפיע על תרחישים שמסתמכים על אמון אתחול מאובטח, כגון הקשחת BitLocker או Bootloaders של צד שלישי. רוב מכשירי Windows יקבלו את האישורים המעודכנים באופן אוטומטי, ויצרני ציוד מקורי רבים סיפקו עדכוני קושחה בעת הצורך. שמירה על עדכניות המכשיר שלך עם עדכונים אלה עוזרת להבטיח שהוא יוכל להמשיך לקבל את מלוא הגנות האבטחה שאתחול מאובטח נועד לספק.

מומלץ לעדכן אישורי אתחול מאובטח זמן רב לפני תאריך התפוגה של יוני 2026.

אם המכשיר שלך מנוהל על-ידי Microsoft, ומשתף נתוני אבחון עם Microsoft, Microsoft תנסה לעדכן את אישורי האתחול המאובטח באופן אוטומטי ברוב המקרים. בעוד שמיקרוסופט תעשה כמיטב יכולתה לעדכן אתחול מאובטח, יהיו מצבים מסוימים שבהם לא מובטח שהעדכון יחול וידרוש פעולה של הלקוח. הלקוח אחראי בסופו של דבר לעדכון אישורי האתחול המאובטח.

דוגמאות למצבים שבהם מכשירים המנוהלים על-ידי Microsoft ובהם נתוני אבחון זמינים עשויים שלא לקבל עדכונים כוללות:

• עדכוני אתחול מאובטח של Microsoft חלים רק על חלק מהגירסאות התומכות של Windows.
• ייתכן שנתוני האבחון הזמינים במכשיר שלך נחסמים על-ידי חומת אש בארגון שלך ואינם מגיעים ל- Microsoft.
• ייתכן שמשהו לא בסדר בקושחה במכשיר.

הערה מה המשמעות של להיות "מנוהל על-ידי Microsoft"? המערכת משתפת נתוני אבחון ומנוהלת על-ידי Microsoft Cloud או Intune.

אם המכשיר שלך אינו משתף נתוני אבחון עם Microsoft ומנוהל על-ידי מחלקת ה- IT של הארגון שלך או על-ידי הלקוח, מחלקת ה- IT יכולה לעדכן את המערכות בהתאם להנחיות של Microsoft לגבי תפוגת התוקף של אישור אתחול מאובטח של Windows ועדכוני רשות אישורים.

אם המחשב מנוהל על-ידי Microsoft, אישורי אתחול מאובטח מתעדכנים באמצעות Windows Update.

אם המחשב מנוהל על-ידי מנהל ה-IT של הארגון או העסק שלך, מחלקת ה-IT מציעה שיטות לעדכון המערכת באמצעות הנחיות לגבי תפוגת התוקף של אישור אתחול מאובטח של Windows ועדכוני רשות אישורים.

התמיכה ב- Windows 10 מסתיימת ב- 14 באוקטובר 2025. לקבלת מידע נוסף, ראה שהתמיכה ב- Windows 10 מסתיימת ב- 14 באוקטובר 2025.

כדי להמשיך לקבל עדכונים אבטחה לאחר תאריך זה, לקוחות שנשארו ב- Windows 10 יכולים להירשם ל:

• התוכנית Windows 10 לאבטחה מורחבת עדכונים (ESU), ראה Windows 10 תוכנית עדכונים אבטחה מורחבת (ESU)
• לחלופין, אם יש לך גירסת LTSC נתמכת של Windows 10, היא תמשיך לקבל עדכונים אבטחה עד לתאריך התפוגה של LTSC. לדוגמה, עיין בתוכנית עדכונים אבטחה מורחבים (ESU) עבור Windows 10

הערה

• Windows 10 Enterprise LTSC זמין לרכישה כ- SKU עצמאי או כחלק ממנוי Windows Enterprise E3.
• ניתן לרכוש את Windows IoT Enterprise LTSC ישירות מ- OEM או באמצעות רישיון ספק כ- SKU עצמאי.

אישורי אתחול מאובטח מאפשרים לקושחה לוודא שרכיבים קריטיים - כגון מנהלי אתחול, ROMs אופציונליים (מנהלי קושחה) ותוכנות אחרות מבוססות קושחה - מהימנים ולא טופלו שלא כדין. Microsoft משתמשת באישורים אלה כדי לחתום על מנהלי אתחול ורכיבים אחרים שניתן לסמוך עליהם, וכן כדי לחתום על עדכוני אתחול מאובטח. כאשר תוקף אישורים ישנים יותר פג, לא ניתן עוד להשתמש בהם כדי לחתום על רכיבים או עדכונים חדשים.

מכשירים שבהם אתחול מאובטח מושבת לא יקבלו את אישורי האתחול המאובטח החדשים בקושחה. כתוצאה מכך, הם יישארו פגיעים לתוכנות זדוניות ברמת האתחול, כגון ערכות אתחול, מכיוון שהגנות אתחול מאובטח אינן נאכפות.

עבור מכשירים זכאים—כגון אלה שמקבלים עדכונים מצטברים באמצעות פריסה מבוססת אמון או כאלה שנרשמו לפריסת תכונות מבוקרת (CFR) עם נתוני אבחון מופעלים — Microsoft תנסה לעדכן את כל האישורים הרלוונטיים. עם זאת, עדכונים אלה ניתנים כסיוע, לא כערובה. מנהלי IT נשארים אחראים להבטיח שכל צי המחשבים שלהם מעודכן, תוך שימוש ב- CFR האוטומטי של Microsoft ובשיטות פריסה מתועדות אחרות.

האישורים נכללו בעדכונים המצטברים (LCU) של 13 במאי 2025 ואילך. עם זאת, הם אינם מוחלים באופן אוטומטי נדרשים שלבים נוספים. לקבלת הדרכה בנושא פריסה, ראה https://aka.ms/getsecureboot.

הם משרתים מטרות שונות.

עדכוני קושחה יכולים לעדכן את משתני ברירת המחדל של אתחול מאובטח המאוחסנים בקושחה. הדבר שימושי בעיקר אם הגדרות אתחול מאובטח יאופסו מאוחר יותר לברירת המחדל מכיוון שברירות המחדל של הקושחה קובעות אילו אישורים ישוחזרו בתרחיש זה.

Windows מחיל שינויים על משתני אתחול מאובטח פעילים שנאכפים במהלך אתחול רגיל. משתנים פעילים אלה הם מה שהקושחה משתמשת בו כדי לאמת רכיבי אתחול ומה ש-Windows מסתמכת עליו כדי לספק הגנות אתחול מאובטח עתידיות.

בפועל, Windows אחראית לשמור על עדכניות תצורת האתחול המאובטח הפעילה. עדכוני קושחה עוזרים להבטיח שערכי ברירת המחדל מתעדכנים גם הם, דבר שמפחית את הסיכון אם 'אתחול מאובטח' יאופס או יאותחל מחדש בעתיד.

על מנהלי מערכת לוודא שמשתני האתחול המאובטח הפעילים מעודכנים ולנטר את מצב הפריסה, ללא קשר לזמינות של עדכוני קושחה.

קיימים שני נתיבים אפשריים:

• אם המחשב מנוהל על-ידי Microsoft עם נתוני אבחון משותפים ומערכת ההפעלה נתמכת, Microsoft תנסה לעדכן.
• אם המכשיר מנוהל על-ידי הלקוח או מנוהל על-ידי מנהל IT, מחלקת ה- IT יכולה להחיל את העדכונים על קבוצת המחשבים המאומתים שיכולים לקבל עדכונים בבטחה בהתאם להנחיות של Microsoft בתפוגת תוקף של אישור אתחול מאובטח של Windows ובעדכוני רשות אישורים.

שלבים אלה צפויים לטפל ברוב הלקוחות ללא צורך בעדכון קושחה מיצרני ציוד מקורי (OEM). עם זאת, ייתכנו מקרים שבהם העדכונים לא יחולו עקב בעיות ידועות או לא ידועות בקושחת המכשיר. במקרים כאלה, פעל בהתאם להנחיות של יצרני הציוד המקורי בנוגע לעדכוני קושחה.

הערה התהליך לעיל מחיל את המשתנים הפעילים של אתחול מאובטח דרך מערכת ההפעלה. ערכי ברירת המחדל של קושחת האתחול המאובטח נשמרים בקושחה שמשוחררת על ידי ה-OEM. ההנחיה היא לא לשנות או לעדכן את תצורת האתחול המאובטח, אלא אם יצרן הציוד המקורי פרסם עדכון לשינוי ברירות המחדל של הקושחה לאישורים החדשים.

אם תוקף האישורים פג, הגנת האתחול המאובטח נפגעת. אם המערכת עומדת בדרישות עבור מערכת הפעלה חדשה יותר כגון Windows 11, ניתן יהיה לשדרג לגרסת מערכת הפעלה חדשה יותר של Windows 11.

אם אתחול מאובטח אינו מופעל במכשירי Windows 10 LTSC שלך, הם לא נכללים בפריסה הנוכחית של אישורי האתחול המאובטח החדשים. כאשר תתחיל את השדרוג ל- Windows 11 LTSC, יהיה עליך לבצע שלבי העברה ספציפיים הרלוונטיים באותה עת כדי להבטיח שהאישורים החדשים של 2023 כלולים.

רק גירסאות נתמכות של מערכת הפעלה Windows יקבלו את האישורים.

עבור Windows הפועל בסביבה וירטואלית, קיימות שתי שיטות להוספת האישורים החדשים למשתני הקושחה של אתחול מאובטח:

• יוצר הסביבה הווירטואלית (AWS, Azure, Hyper-V, VMware וכו ') יכול לספק עדכון לסביבה ולכלול את האישורים החדשים בקושחה הווירטואלית. זה יעבוד עבור מכשירים וירטואליים חדשים.
• עבור Windows הפועל לטווח ארוך ב- VM, ניתן להחיל את העדכונים באמצעות Windows כמו כל מכשיר אחר, אם הקושחה הווירטואלית תומכת בעדכוני אתחול מאובטח.

בסביבות אלה, המנוהלות על-ידי הלקוחות/מחלקת ה- IT, חסרים לעתים קרובות מספיק נתוני אבחון שיאפשרו ל- Microsoft לפרוס תכונות חדשות בבטחה ובבטחה. בנוסף, מחלקות IT מעדיפות בדרך כלל לשמור על שליטה מלאה על תזמון העדכון והתוכן כדי להבטיח תאימות, יציבות ותאימות לכלים וזרימות עבודה פנימיים. מכשירים ארגוניים רבים פועלים גם בסביבות רגישות או מוגבלות שבהן גישה חיצונית או ניהול חיצוניים - המשתמעים מ- CFR - עשויים להיות בלתי רצויים או אסורים.

אם Windows כבר משתמשת במנהל האתחול החתום ב-2023 אך הקושחה מאופסת לברירות מחדל שאינן כוללות את אישור Windows UEFI CA 2023, אתחול מאובטח יחסום את תהליך האתחול.

כדי לתקן זאת, עליך להחיל מחדש את אישור 2023 על מסד הנתונים של הקושחה באמצעות יישום השחזור. פעולה זו מתבצעת על-ידי יצירת USB לשחזור, ולאחר מכן אתחול המכשיר המושפע מאותו USB כדי לשחזר את האישור החסר.

לקבלת הוראות מפורטות, עיין בהדרכה הרשמית של Microsoft לעדכון מדיית ההתקנה של Windows.

כן. ניתן עדיין להחיל את העדכונים המצטברים המכילים את אישורי האתחול המאובטח החדשים גם אם פג תוקפם של האישורים הקיימים. אם המכשיר יכול לאתחל את Windows ולהתקין עדכונים, ניתן לכתוב את האישורים המעודכנים בקושחה על ידי ביצוע הנחיות הפריסה שפורסמו. רוב המכשירים יקבלו עדכונים אלה באופן אוטומטי, אך מערכות מסוימות עשויות לדרוש עדכוני קושחה נוספים.