Tanya jawab umum tentang proses pembaruan Boot Aman

Setelah sertifikat Boot Aman kedaluwarsa, perangkat yang belum menerima sertifikat 2023 yang lebih baru akan terus dimulai dan beroperasi secara normal, dan pembaruan Windows standar akan terus diinstal. Namun, perangkat ini tidak akan lagi dapat menerima perlindungan keamanan baru untuk proses boot awal, termasuk pembaruan untuk Windows Boot Manager, database Boot Aman, daftar pencabutan, atau mitigasi untuk kerentanan tingkat boot yang baru ditemukan.

Seiring waktu, hal ini membatasi perlindungan perangkat terhadap ancaman yang muncul dan dapat memengaruhi skenario yang bergantung pada kepercayaan Boot Aman, seperti pengerasan BitLocker atau bootloader pihak ketiga. Sebagian besar perangkat Windows akan menerima sertifikat yang diperbarui secara otomatis, dan banyak OEM telah menyediakan pembaruan firmware bila diperlukan. Menjaga perangkat Anda tetap terkini dengan pembaruan ini membantu memastikannya dapat terus menerima rangkaian lengkap perlindungan keamanan yang dirancang untuk disediakan Boot Aman.

Sebaiknya perbarui sertifikat Secure Boot jauh sebelum tanggal kedaluwarsa Juni 2026.

Jika perangkat Anda dikelola oleh Microsoft, dan berbagi data diagnostik dengan Microsoft, Microsoft akan mencoba memperbarui sertifikat Boot Aman secara otomatis dalam banyak kasus. Meskipun Microsoft akan melakukan yang terbaik untuk memperbarui Boot Aman, akan ada beberapa situasi di mana pembaruan tidak dijamin akan diterapkan dan memerlukan tindakan pelanggan. Pelanggan pada akhirnya bertanggung jawab untuk memperbarui sertifikat Secure Boot.

Contoh situasi di mana perangkat yang dikelola Microsoft dengan data diagnostik yang diaktifkan mungkin tidak menerima pembaruan meliputi:

• Pembaruan Microsoft Secure Boot hanya berlaku untuk beberapa versi Windows yang didukung.
• Data diagnostik yang diaktifkan di perangkat Anda dapat diblokir oleh firewall di organisasi Anda dan tidak menjangkau Microsoft.
• Mungkin ada yang salah dengan firmware pada perangkat.

catatan Apa artinya "Dikelola oleh Microsoft"? Sistem berbagi data diagnostik dan dikelola oleh Microsoft Cloud atau Intune.

Jika perangkat Anda tidak berbagi data diagnostik dengan Microsoft dan dikelola oleh departemen TI organisasi atau oleh pelanggan, departemen TI dapat memperbarui sistem sesuai panduan Microsoft dalam kedaluwarsa sertifikat Windows Secure Boot dan pembaruan CA.

Jika komputer dikelola oleh Microsoft, sertifikat Boot Aman diperbarui melalui Windows Update.

Jika komputer dikelola oleh administrator TI organisasi atau bisnis Anda, maka departemen TI memiliki metode untuk memperbarui sistem menggunakan panduan dalam Windows Secure Boot kedaluwarsa sertifikat dan pembaruan CA.

Dukungan Windows 10 berakhir pada 14 Oktober 2025. Untuk informasi selengkapnya, lihat Dukungan Windows 10 berakhir pada 14 Oktober 2025.

Untuk terus menerima Updates Keamanan setelah tanggal ini, pelanggan yang masih menggunakan Windows 10 dapat mendaftar:

• Program Windows 10 Extended Security Updates (ESU), lihat Program Windows 10 Extended Security Updates (ESU)
• Atau jika Anda memiliki versi LTSC Windows 10 yang didukung, itu akan terus mendapatkan Updates Keamanan hingga tanggal kedaluwarsa LTSC. Misalnya, lihat program Extended Security Updates (ESU) untuk Windows 10

Catatan

• Windows 10 Enterprise LTSC tersedia untuk dibeli baik sebagai SKU mandiri maupun sebagai bagian dari langganan Windows Enterprise E3.
• Windows IoT Enterprise LTSC dapat dibeli langsung dari OEM atau melalui Lisensi Vendor sebagai SKU mandiri.

Sertifikat Boot Aman memungkinkan firmware memverifikasi bahwa komponen penting—seperti manajer boot, ROM opsi (driver firmware), dan perangkat lunak berbasis firmware lainnya—tepercaya dan belum dirusak. Microsoft menggunakan sertifikat ini untuk menandatangani manajer boot dan komponen lain yang harus tepercaya, serta pembaruan Boot Aman. Saat sertifikat lama kedaluwarsa, sertifikat tidak dapat lagi digunakan untuk menandatangani komponen atau pembaruan baru.

Perangkat dengan Boot Aman dinonaktifkan tidak akan menerima sertifikat Boot Aman baru di firmware. Akibatnya, mereka akan tetap rentan terhadap malware tingkat boot, seperti bootkit, karena perlindungan Boot Aman tidak diterapkan.

Untuk perangkat yang memenuhi syarat—seperti perangkat yang menerima pembaruan kumulatif melalui penyebaran berbasis kepercayaan atau terdaftar dalam Peluncuran Fitur Terkontrol (CFR) dengan data diagnostik yang diaktifkan—Microsoft akan mencoba memperbarui semua sertifikat yang berlaku. Namun, pembaruan ini disediakan sebagai bantuan, bukan jaminan. Administrator TI tetap bertanggung jawab untuk memastikan seluruh armada mereka diperbarui, menggunakan CFR otomatis Microsoft dan metode penyebaran terdokumentasi lainnya.

Sertifikat tersebut disertakan dalam pembaruan kumulatif (LCU) 13 Mei 2025 dan yang lebih baru. Namun, mereka tidak diterapkan secara otomatis; langkah tambahan diperlukan. Untuk panduan penyebaran, lihat https://aka.ms/getsecureboot.

Mereka melayani tujuan yang berbeda.

Pembaruan firmware dapat memperbarui variabel Boot Aman default yang disimpan di firmware. Hal ini terutama berguna jika pengaturan Boot Aman kemudian diatur ulang ke default karena default firmware menentukan sertifikat mana yang dipulihkan dalam skenario tersebut.

Windows menerapkan perubahan pada variabel Boot Aman aktif yang diberlakukan selama boot normal. Variabel aktif ini adalah apa yang digunakan firmware untuk memvalidasi komponen boot dan apa yang diandalkan Windows untuk memberikan perlindungan Boot Aman di masa mendatang.

Dalam praktiknya, Windows bertanggung jawab untuk menjaga konfigurasi Boot Aman aktif tetap terkini. Pembaruan firmware membantu memastikan bahwa nilai default juga diperbarui, yang mengurangi risiko jika Boot Aman diatur ulang atau diinisialisasi ulang di masa mendatang.

Administrator harus memastikan bahwa variabel Boot Aman aktif diperbarui dan memantau status penyebaran, terlepas dari apakah pembaruan firmware tersedia.

Ada dua kemungkinan jalur:

• Jika komputer dikelola oleh Microsoft dengan data diagnostik bersama dan OS didukung, Microsoft akan mencoba memperbaruinya.
• Jika perangkat dikelola atau dikelola oleh pelanggan oleh administrator TI, departemen TI dapat menerapkan pembaruan pada kumpulan komputer yang divalidasi yang dapat dengan aman menerima pembaruan sesuai panduan Microsoft di Windows Secure Boot kedaluwarsa sertifikat dan pembaruan CA.

Langkah-langkah ini diharapkan dapat mengatasi sebagian besar pelanggan tanpa memerlukan pembaruan Firmware dari OEM. Namun, akan ada kasus tertentu di mana pembaruan tidak diterapkan karena masalah yang diketahui atau tidak diketahui pada firmware perangkat. Dalam kasus seperti itu, ikuti panduan OEM tentang pembaruan firmware.

catatan Proses di atas menerapkan Variabel Aktif Boot Aman melalui OS. Nilai Default Firmware Boot Aman dipertahankan di Firmware yang dirilis oleh OEM. Panduannya adalah untuk tidak mengubah atau memperbarui konfigurasi Boot Aman kecuali OEM telah merilis pembaruan untuk mengubah default Firmware ke sertifikat baru.

Jika sertifikat kedaluwarsa, perlindungan Boot Aman akan menurun. Jika sistem memenuhi persyaratan untuk OS yang lebih baru seperti Windows 11, Anda akan dapat memutakhirkan ke versi OS Windows 11 yang lebih baru.

Jika Boot Aman tidak diaktifkan di perangkat Windows 10 LTSC Anda, perangkat tersebut tidak disertakan dalam peluncuran saat ini untuk sertifikat Boot Aman baru. Saat memulai peningkatan ke Windows 11 LTSC, Anda harus mengikuti langkah-langkah migrasi tertentu yang relevan pada saat itu untuk memastikan sertifikat 2023 baru disertakan.

Hanya versi OS Windows yang didukung yang akan mendapatkan sertifikat.

Untuk Windows yang berjalan di lingkungan virtual, ada dua metode untuk menambahkan sertifikat baru ke variabel firmware Boot Aman:

• Pencipta lingkungan virtual (AWS, Azure, Hyper-V, VMware, dll.) dapat memberikan pembaruan untuk lingkungan dan menyertakan sertifikat baru dalam firmware virtual. Ini akan berfungsi untuk perangkat virtual baru.
• Untuk Windows yang berjalan jangka panjang di VM, pembaruan dapat diterapkan melalui Windows seperti perangkat lainnya, jika firmware virtual mendukung pembaruan Boot Aman.

Lingkungan yang dikelola Pelanggan/TI ini seringkali tidak memiliki data diagnostik yang memadai bagi Microsoft untuk meluncurkan fitur baru dengan percaya diri dan aman. Selain itu, departemen TI biasanya lebih memilih untuk mempertahankan kontrol penuh atas waktu dan konten pembaruan untuk memastikan kepatuhan, stabilitas, dan kompatibilitas dengan alat dan alur kerja internal. Banyak perangkat perusahaan juga beroperasi di lingkungan yang sensitif atau terbatas di mana akses atau manajemen eksternal—yang tersirat oleh CFR—mungkin tidak diinginkan atau dilarang.

Jika Windows sudah menggunakan manajer boot yang ditandatangani tahun 2023 tetapi firmware diatur ulang ke default yang tidak menyertakan sertifikat Windows UEFI CA 2023, Boot Aman akan memblokir proses boot.

Untuk memperbaikinya, Anda perlu menerapkan ulang sertifikat 2023 ke DB firmware menggunakan aplikasi pemulihan. Hal ini dilakukan dengan membuat USB pemulihan, lalu mem-boot perangkat yang terpengaruh dari USB tersebut untuk memulihkan sertifikat yang hilang.

Untuk instruksi langkah demi langkah, lihat panduan resmi Microsoft untuk memperbarui media penginstalan Windows.

Ya. Pembaruan kumulatif yang berisi sertifikat Boot Aman baru masih dapat diterapkan meskipun sertifikat yang ada telah kedaluwarsa. Jika perangkat dapat melakukan boot Windows dan menginstal pembaruan, sertifikat yang diperbarui dapat ditulis ke firmware dengan mengikuti panduan penyebaran yang diterbitkan. Sebagian besar perangkat akan menerima pembaruan ini secara otomatis, tetapi beberapa sistem mungkin memerlukan pembaruan firmware tambahan.