Najčešća pitanja o postupku ažuriranja sigurnog pokretanja

Nakon isteka certifikata za sigurno pokretanje uređaji koji nisu primili novije certifikate verzije 2023 nastavit će funkcionirati normalno i funkcionirat će normalno, a standardna ažuriranja sustava Windows nastavit će se instalirati. Međutim, ti uređaji više neće moći primati nove sigurnosne zaštite za proces ranog pokretanja, uključujući ažuriranja upravitelja pokretanja sustava Windows, baza podataka sigurnog pokretanja, popisa opoziva ili ublažavanja za novootkrivene slabe točke na razini pokretanja. 

Time se s vremenom ograničava zaštita uređaja od novih prijetnji i može utjecati na scenarije koji se oslanjaju na pouzdanost sigurnog pokretanja, kao što su BitLocker očvaranja ili bootloaderi drugih proizvođača. Većina uređaja sa sustavom Windows automatski će primiti ažurirane certifikate, a mnogi OEM-i pružaju ažuriranja programske opreme kada je to potrebno. Održavanje uređaja ažutnim uz ta ažuriranja osigurava da može nastaviti primati cijeli skup sigurnosnih zaštita koje je sigurnosno pokretanje osmišljeno za pružanje.

Najbolje je ažurirati certifikate za sigurno pokretanje prije datuma isteka za lipanj 2026. 

Ako vašim uređajem upravlja Microsoft i zajednički koristi dijagnostičke podatke s Microsoftom, Microsoft će u većini slučajeva automatski pokušati ažurirati certifikate za sigurno pokretanje. Premda će Microsoft učiniti sve što može da ažurira sigurno pokretanje, neke će situacije biti situacije u kojima se ažuriranje ne jamči da će se primijeniti te će trebati akciju korisnika. Korisnik je u konačnici odgovoran za ažuriranje certifikata za sigurno pokretanje. 

Primjeri situacija u kojima uređaji kojima upravlja Microsoft s omogućenim dijagnostičkim podacima možda neće primati ažuriranja obuhvaćaju sljedeće:

• Ažuriranja microsoftova sigurnog pokretanja primjenjuju se samo na neke verzije sustava Windows u podršci.

• Vatrozid u vašoj tvrtki ili ustanovi može blokirati dijagnostičke podatke omogućene na vašem uređaju i ne pristupati Microsoftu.

• Možda nešto nije u redu s firmverom na uređaju.

Napomena Što znači "Microsoft upravlja"? Sustav zajednički koristi dijagnostičke podatke i njima upravlja Microsoft Cloud ili Intune. 

Ako vaš uređaj ne dijeli dijagnostičke podatke s Microsoftom i njima upravlja IT odjel vaše tvrtke ili ustanove ili korisnik, IT odjel može ažurirati sustave prema Microsoftovim uputama u članku Istek certifikata za sigurno pokretanje sustava Windows i ažuriranja ustanove za izdavanje certifikata.

Ako računalom upravlja Microsoft, certifikati za sigurno pokretanje ažuriraju se putem Windows Update.  

Ako računalom upravlja vaša tvrtka ili ustanova ili poslovni IT administrator, IT odjel ima načine za ažuriranje sustava pomoću smjernica u istek certifikata za sigurno pokretanje sustava Windows i ažuriranja ustanove za izdavanje certifikata. 

Windows 10 podrška završava 14. listopada 2025. Dodatne informacije potražite u Windows 10 završava 14. listopada 2025. 

Da biste nastavili primati sigurnosne Ažuriranja nakon tog datuma, korisnici koji su ostali Windows 10 se mogu prijaviti za: 

• The Windows 10 Extended Security Ažuriranja (ESU) Program, Windows 10 Extended Security Ažuriranja (ESU) Program

• Ako pak imate podržanu LTSC verziju sustava Windows 10, nastavit će dohvaćati sigurnosne podatke Ažuriranja do datuma isteka LTSC-a. Na primjer, pročitajte članak Program proširene Ažuriranja sigurnosti (ESU) za Windows 10

Napomena

• Windows 10 Enterprise LTSC dostupan je za kupnju kao samostalni SKU ili kao dio pretplate Na Windows Enterprise E3.

• Windows IoT Enterprise LTSC može se kupiti izravno od OEM-a ili putem licence dobavljača kao samostalni SKU.

Certifikati za sigurno pokretanje omogućuju firmveru da provjeri jesu li ključne komponente , kao što su upravitelji pokretanja, mogućnost ROM-i (upravljački programi za opremu) i drugi softver utemeljeni na programima, pouzdani i nisu neovlašteno mijenjani. Microsoft te certifikate koristi za potpisivanje upravitelja pokretanja i drugih komponenti koje bi trebale biti pouzdane, kao i ažuriranja sigurnog pokretanja. Kada stariji certifikati istekne, više se ne mogu koristiti za potpisivanje novih komponenti ili ažuriranja.

Uređaji s onemogućenim sigurnim pokretanjem neće primiti nove certifikate za sigurno pokretanje u programske opreme. Zbog toga će i dalje biti izloženi zlonamjernom softveru na razini pokretanja, kao što su bootkits, jer se ne primjenjuju zaštita sigurnog pokretanja. 

Za uređaje koji ispunjavaju uvjete , kao što su oni koji primaju kumulativna ažuriranja putem implementacije utemeljene na pouzdanosti ili registrirani za kontrolirano uvođenje značajki (CFR) s omogućenim dijagnostičkim podacima, Microsoft će pokušati ažurirati sve primjenjive certifikate. Međutim, ta se ažuriranja pružaju kao pomoć, a ne kao jamstvo. IT administratori i dalje su odgovorni za osiguravanje da se njihova cijela flota ažurira pomoću Microsoftovih automatiziranih CFR-ova i drugih dokumentiranih načina implementacije.

Certifikati su obuhvaćeni kumulativnim ažuriranjima (LCU) i novijim od 13. svibnja 2025. No ne primjenjuju se automatski dodatni koraci. Smjernice za implementaciju potražite u https://aka.ms/getsecureboot.

Oni služe različitim svrhama.

Ažuriranja programske opreme mogu ažurirati zadane varijable sigurnog pokretanja pohranjene u firmveru. To je prvenstveno korisno ako se postavke sigurnog pokretanja kasnije vraćaju na zadane postavke jer zadane postavke programske opreme određuju koji se certifikati vraćaju u tom scenariju.

Windows primjenjuje promjene na varijable aktivnog sigurnog pokretanja koje se primjenjuju tijekom uobičajenog pokretanja. Te aktivne varijable ono su što firmver koristi za provjeru komponenti pokretanja i na što se Windows oslanja da bi isporučio buduće zaštite za sigurno pokretanje.

U praksi je Windows odgovoran za održavanje aktivne konfiguracije sigurnog pokretanja aktivnom. Ažuriranja programske opreme omogućuju ažuriranje zadanih vrijednosti, čime se smanjuje rizik ako se sigurno pokretanje ponovno postavi ili ponovno inicijalizira u budućnosti.

Administratori bi trebali osigurati da se aktivne varijable sigurnog pokretanja ažuriraju i nadziru status implementacije, bez obzira na to jesu li dostupna ažuriranja programske opreme.

Dva su moguća puta: 

• Ako računalom upravlja Microsoft s dijeljenim dijagnostičkim podacima, a os je podržan, Microsoft će pokušati ažurirati.

• Ako je uređaj korisnik kojim upravlja IT administrator ili kojim upravlja, IT odjel može primijeniti ažuriranja na provjerenom skupu računala koja mogu sigurno preuzeti ažuriranja po Microsoftovim smjernicama u istek certifikata za sigurno pokretanje sustava Windows i ažuriranja certifikata za izdavanje certifikata.

Očekuje se da će se tim koracima riješiti problem većine korisnika bez potrebe za ažuriranjem opreme iz OEM-ova. No u određenim slučajevima ažuriranja se ne primjenjuju zbog poznatih ili nepoznatih problema u programske opreme uređaja. U takvim slučajevima slijedite OEM smjernice o ažuriranjima opreme. 

Napomena Gore navedeni postupak primjenjuje aktivne varijable sigurnog pokretanja putem OS-a. Zadane vrijednosti firmvera sigurnog pokretanja održavaju se u programsku opremu koju izdaje OEM. Smjernice su da ne mijenjate ni ne ažurirate konfiguraciju sigurnog pokretanja osim ako OEM nije objavio ažuriranje za promjenu zadanih postavki programske opreme na nove certifikate.

 Ako certifikat istekne, zaštita od sigurnog pokretanja je smanjena. Ako sustav zadovoljava preduvjete za noviji OPERACIJSKI sustav kao što je Windows 11, moći ćete nadograditi na noviju verziju operacijskog sustava Windows 11.  

Ako sigurno pokretanje nije omogućeno na vašim Windows 10 LTSC uređajima, one nisu obuhvaćene trenutnim pokretanjem za nove certifikate za sigurno pokretanje. Kada započnete nadogradnju na Windows 11 LTSC, morat ćete slijediti određene korake za migraciju relevantne u tom trenutku da biste bili sigurni da su uvršteni novi certifikati verzije 2023.

Certifikate će dobiti samo podržane verzije operacijskog sustava Windows. 

Za Windows koji se izvodi u virtualnom okruženju postoje dva načina dodavanja novih certifikata u varijable firmvera sigurnog pokretanja: 

• Kreator virtualnog okruženja (AWS, Azure, Hyper-V, VMware itd.) može pružiti ažuriranje za okruženje i uključiti nove certifikate u virtualiziranu opremu. To bi funkcioniralo za nove virtualizirane uređaje.

• Za Windows koji dugoročno radi na virtualnom računalu ažuriranja se mogu primijeniti putem sustava Windows kao i svi drugi uređaji, ako virtualizirana oprema podržava ažuriranja sigurnog pokretanja.

Tim okruženjima kojima upravlja Korisnik/IT često nedostaje dovoljno dijagnostičkih podataka da bi Microsoft pouzdano i sigurno uvodio nove značajke. Osim toga, IT odjeli obično radije održavaju potpunu kontrolu nad tempiranjem ažuriranja i sadržajem radi osiguravanja usklađenosti, stabilnosti i kompatibilnosti s internim alatima i tijekovima rada. Mnogi poslovni uređaji također funkcioniraju u osjetljivim ili ograničenim okruženjima u kojima vanjski pristup ili upravljanje – što podrazumijeva CFR – mogu biti nepoželjni ili zabranjeni.

Ako Windows već koristi upravitelj pokretanja potpisanog verzijom 2023, ali se firmver ponovno postavlja na zadane postavke koje ne sadrže certifikat Windows UEFI CA 2023, sigurno pokretanje blokirat će postupak pokretanja. 

Da biste riješili taj problem, morate ponovno primijeniti certifikat 2023 na bazu podataka opreme pomoću aplikacije za oporavak. To se obavlja stvaranjem USB-a za oporavak, a zatim pokretanjem zahvaćenog uređaja s tog USB-a radi vraćanja certifikata koji nedostaje. 

Detaljne upute potražite u Microsoftovim službenim uputama za ažuriranje medija za instalaciju sustava Windows. 

​​​​​​​Da. Kumulativna ažuriranja koja sadrže nove certifikate za sigurno pokretanje i dalje se mogu primijeniti čak i ako su postojeći certifikati istekli. Ako uređaj može pokrenuti Windows i instalirati ažuriranja, ažurirani certifikati mogu se zapisati u firmver slijedeći objavljene smjernice za implementaciju. Većina će uređaja automatski primati ta ažuriranja, no za neke će sustave možda biti potrebna dodatna ažuriranja programske opreme.