Scadenza dei certificati di avvio protetto nei dispositivi Windows

Cosa succede se i certificati scadono

Se il dispositivo raggiunge la data di scadenza senza i nuovi certificati, verrà comunque avviato e funzionerà normalmente. Standard gli aggiornamenti di Windows continueranno a essere installati. Tuttavia, il dispositivo non sarà più in grado di ricevere nuove protezioni di sicurezza per il processo di avvio anticipato. Sono inclusi aggiornamenti a Windows Boot Manager, database di avvio protetto ed elenchi di revoche e correzioni per le vulnerabilità individuate di recente nella catena di avvio.

Con l'emergere di nuove minacce, un dispositivo in questo stato scaduto diventa progressivamente meno protetto. Anche gli scenari che si basano sull'attendibilità di avvio protetto (ad esempio la protezione avanzata di BitLocker, l'integrità del codice a livello di avvio o bootloader di terze parti e ROMs di opzioni) possono essere interessati anche se richiedono un'attendibilità di avvio protetto aggiornata.

Cosa continua a funzionare

• Il dispositivo continua a essere avviato normalmente.

• Gli aggiornamenti di Windows continuano a essere installati, ad eccezione dei componenti di sicurezza correlati all'avvio che richiedono i certificati aggiornati.

• L'uso quotidiano delle app, la rete, l'esplorazione e la maggior parte delle funzionalità del sistema operativo rimangono invariati.

Cosa non funziona più

• Non è possibile applicare nuove protezioni di Avvio protetto e Boot Manager.

• Le correzioni di vulnerabilità per l'ambiente di avvio anticipato, ad esempio le misure di prevenzione del bypass di BitLocker o le revoche di avvio protetto, non saranno disponibili.

• Alcuni componenti di terze parti che si basano sull'attendibilità di Microsoft Secure Boot potrebbero non essere aggiornati se richiedono voci di certificato più recenti.

Come rimanere protetti

La maggior parte dei dispositivi Windows personali riceverà automaticamente i nuovi certificati di avvio protetto tramite gli aggiornamenti gestiti da Microsoft. Per i dispositivi gestiti da un'organizzazione, gli amministratori IT devono seguire le linee guida per l'aggiornamento del certificato di avvio protetto di Microsoft. Per applicare correttamente i nuovi certificati, alcuni dispositivi potrebbero richiedere un aggiornamento del firmware OEM. Per qualsiasi dispositivo, personale o gestito dall'organizzazione, contatta l'OEM per informazioni sugli aggiornamenti del firmware necessari, tenendo presente che tali aggiornamenti potrebbero essere disponibili solo per i dispositivi ancora compresi nel periodo di supporto. Mantenere il dispositivo aggiornato garantisce che continui a ricevere le protezioni complete che Secure Boot è progettato per fornire.

Nota: Avvio protetto non deve essere disabilitato per aggirare la scadenza del certificato. La disabilitazione di Avvio protetto riduce in modo significativo la protezione dei dispositivi, rimuove le misure di sicurezza contro il malware a livello di avvio e può creare nuovi rischi per la sicurezza e la conformità. Il percorso consigliato consiste nel garantire che il dispositivo riceva i certificati di avvio protetto 2023 aggiornati e gli eventuali aggiornamenti del firmware OEM necessari.