Pradinė publikavimo data: 2025 m. rugsėjo 15 d.
KB ID: 5068008
Bendrieji DUK apie saugiosios įkrovos
Geriausia saugiosios įkrovos sertifikatus atnaujinti gerokai iki 2026 m. birželio galiojimo pabaigos datos.
Jei jūsų įrenginį valdo "Microsoft" ir bendrina diagnostikos duomenis su "Microsoft", daugeliu atvejų "Microsoft" bandys automatiškai atnaujinti saugiosios įkrovos sertifikatus. Nors "Microsoft" pasistengs atnaujinti saugiąją įkrovą, bus keletas situacijų, kai nebus garantuota, kad naujinimas bus taikomas, ir reikės atlikti kliento veiksmus. Klientas galiausiai yra atsakingas už saugiosios įkrovos sertifikatų atnaujinimą.
Kai kurie pavyzdžiai, kai "Microsoft" valdomi įrenginiai su bendrinamais diagnostikos duomenimis neatnaujinami, pateikiami toliau.
-
"Microsoft" saugiosios įkrovos naujinimai veikia tik kai kuriose "Windows" palaikomose versijose.
-
Jūsų įrenginyje įgalintus diagnostikos duomenis gali blokuoti jūsų organizacijos užkarda ir jie nepasiekęs "Microsoft".
-
Gali būti, kad kažkas nutiko įrenginio programinei-aparatinei įrangai.
Pastaba Ką reiškia būti "Valdoma "Microsoft"? Sistema bendrina diagnostikos duomenis ir ją valdo "Microsoft Cloud" arba "Intune".
Jei jūsų įrenginys nebendrina diagnostikos duomenų su "Microsoft" ir jį valdo jūsų organizacijos IT skyrius arba klientas, IT skyrius gali atnaujinti sistemas pagal "Microsoft" nurodymus , pateiktus "Windows" saugiosios įkrovos sertifikato galiojimo laiko pabaigos ir CA naujinimuose.
Jei kompiuterį valdo "Microsoft", saugiosios įkrovos sertifikatai atnaujinami per „Windows Update“.
Jei kompiuterį valdo jūsų organizacija arba įmonės IT administratorius, IT skyrius turi būdų, kaip atnaujinti sistemą, naudodamas "Windows" saugiosios įkrovos sertifikato galiojimo pabaigos ir CA naujinimų nurodymus.
Kompiuteris vis tiek paleis "Windows" įprastai, net jei neatnaujinami saugiosios įkrovos sertifikatai. Kompiuteris galiausiai nebegaus tam tikrų "Windows" saugos naujinimų iš "Microsoft", įskaitant įkrovos tvarkytuvą ir saugiosios įkrovos komponento saugos naujinimus. Dėl to įrenginiui gali grėsti "BootKits", kurie gali perimti visišką kompiuterio valdymą.
Windows 10 palaikymas baigiasi 2025 m. spalio 14 d. Daugiau informacijos žr. Windows 10 palaikymas baigiasi 2025 m. spalio 14 d.
Norėdami ir toliau gauti saugos Naujinimai po šios datos, Windows 10 likę klientai gali prisiregistruoti:
-
Windows 10 išplėstinės saugos Naujinimai (ESU) programą žr. Windows 10 išplėstinės saugos Naujinimai (ESU) programą
-
Arba, jei turite palaikomą "Windows 10" LTSC versiją, ji ir toliau gaus saugos Naujinimai iki LTSC galiojimo pabaigos datos. Pavyzdžiui, žr. išplėstinės saugos Naujinimai (ESU) programą, skirtą Windows 10
Pastaba
-
Windows 10 Enterprise LTSC galima įsigyti kaip atskirą SKU arba kaip "Windows Enterprise E3" prenumeratos dalį.
-
"Windows IoT Enterprise LTSC" galima įsigyti tiesiogiai iš OĮG arba naudojant tiekėjo licenciją kaip atskirą SKU.
Klientų / IT valdomų sistemų saugiosios įkrovos DUK
Yra du galimi keliai:
-
Jei kompiuterį valdo "Microsoft" naudodama bendrinamus diagnostikos duomenis ir OS palaikoma, "Microsoft" bandys atnaujinti.
-
Jei įrenginį valdo arba valdo IT administratorius, IT skyrius gali taikyti patvirtinto kompiuterių rinkinio naujinimus, kurie gali saugiai gauti naujinimus pagal "Microsoft" nurodymus "Windows" saugios įkrovos sertifikato galiojimo laiko pabaigos ir CA naujinimuose.
Tikimasi, kad atliekant šiuos veiksmus daugumai klientų nereikės OĮG programinės-aparatinės įrangos naujinimo. Tačiau tam tikrais atvejais naujinimai nebus taikomi dėl žinomų arba nežinomų įrenginio programinės-aparatinės įrangos problemų. Tokiais atvejais vadovaukitės OĮG nurodymais dėl programinės-aparatinės įrangos naujinimų.
Pastaba Anksčiau minėtas procesas taiko saugiosios įkrovos aktyvius kintamuosius per OS. Saugiosios įkrovos programinės-aparatinės įrangos numatytosios reikšmės išlaikomos OĮG išleistoje programinėje-aparatinėje įrangoje. Rekomenduojama nekeisti arba atnaujinti saugiosios įkrovos konfigūracijos, nebent OĮG išleido naujinimą, kad pakeistų numatytuosius programinės-aparatinės įrangos parametrus į naujus sertifikatus.
Jei sertifikatų galiojimo laikas baigiasi, apsauga nuo saugiosios įkrovos yra blogesne. Jei sistema atitinka naujesnės OS, pvz., Windows 11, reikalavimus, bus galima atnaujinti į naujesnę Windows 11 OS versiją.
Jei saugioji įkrova neįgalinta jūsų Windows 10 LTSC įrenginiuose, jie nėra įtraukti į dabartinį naujų saugiosios įkrovos sertifikatų diegimą. Kai pradedate versijos naujinimą į Windows 11 LTSC, jums reikės atlikti konkrečius perkėlimo veiksmus, susijusius su tuo metu, kad būtų įtraukti nauji 2023 m. sertifikatai.
Sertifikatus gaus tik palaikomos "Windows" OS versijos.
Pasibaigus sertifikatų galiojimui, įrenginys ir toliau bus paleidžiamas be pakeitimų, tačiau įrenginys nebegaus įkrovos tvarkytuvo ir saugiosios įkrovos komponentų saugos naujinimų. Dėl to visam įrenginiui grės kenkėjiška programa "bootkit", kuri gali turėti įtakos visiems įrenginio saugos aspektams.
Jei "Windows" veikia virtualioje aplinkoje, yra du būdai, kaip įtraukti naujus sertifikatus į saugiosios įkrovos programinės-aparatinės įrangos kintamuosius:
-
Virtualiosios aplinkos (AWS, "Azure", "Hyper-V", "VMware" ir kt.) kūrėjas gali pateikti aplinkos naujinimą ir įtraukti naujus sertifikatus į virtualią programinę-aparatinę įrangą. Tai veiktų naujuose virtualiuose įrenginiuose.
-
Jei "Windows" veikia ilgalaikėje virtualiojoje mašinoje, naujinimai gali būti taikomi per "Windows" kaip ir bet kuriuose kituose įrenginiuose, jei virtuali programinė-aparatinė įranga palaiko saugiosios įkrovos naujinimus.
Šioms klientų / IT valdomoms aplinkoms dažnai trūksta pakankamai diagnostikos duomenų, kad "Microsoft" galėtų užtikrintai ir saugiai įdiegti naujas funkcijas. Be to, IT skyriai paprastai pageidauja visiškai kontroliuoti naujinimo laiką ir turinį, kad užtikrintų atitiktį, stabilumą ir suderinamumą su vidiniais įrankiais ir darbo eigomis. Daugelis įmonės įrenginių taip pat veikia slaptose arba apribotose aplinkose, kuriose išorinė prieiga arba valdymas, numanomas pagal CFR, gali būti nepageidaujamas arba draudžiamas.
Jei "Windows" jau naudoja 2023 m. pasirašytą įkrovos tvarkytuvą, bet programinė-aparatinė įranga nustatoma iš naujo į numatytuosius parametrus, kuriuose nėra "Windows" UEFI CA 2023 sertifikato, saugiosios įkrovos procesas bus užblokuotas.
Norėdami išspręsti šią problemą, turite iš naujo taikyti 2023 m. sertifikatą programinės-aparatinės įrangos DB naudodami atkūrimo programą. Tai daroma sukuriant atkūrimo USB, tada iš USB pakraunant paveiktą įrenginį, kad būtų atkurtas trūkstamas sertifikatas.
Išsamias instrukcijas rasite oficialiose "Microsoft" rekomendacijose, kaip atnaujinti "Windows" diegimo laikmeną.
