Vanlige spørsmål om oppdateringsprosessen for sikker oppstart

Når Secure Boot-sertifikatene utløper, vil enheter som ikke har mottatt de nyere 2023-sertifikatene, fortsette å starte og fungere normalt, og standard Windows-oppdateringer vil fortsette å installeres. Disse enhetene vil imidlertid ikke lenger kunne motta ny sikkerhetsbeskyttelse for den tidlige oppstartsprosessen, inkludert oppdateringer for Windows Boot Manager, Secure Boot-databaser, tilbakekallingslister eller reduksjoner for nylig oppdagede oppstartssårbarheter.

Over tid begrenser dette enhetens beskyttelse mot nye trusler og kan påvirke scenarier som er avhengige av klarering for sikker oppstart, for eksempel BitLocker-forsterking eller tredjeparts oppstartslastere. De fleste Windows-enheter mottar de oppdaterte sertifikatene automatisk, og mange OEM-er har levert fastvareoppdateringer ved behov. Hvis du holder enheten oppdatert med disse oppdateringene, bidrar det til å sikre at den kan fortsette å motta hele settet med sikkerhetsbeskyttelser som Secure Boot er utformet for å gi.

Det er best å oppdatere Secure Boot-sertifikater i god tid før utløpsdatoen i juni 2026.

Hvis enheten administreres av Microsoft og deler diagnosedata med Microsoft, vil Microsoft i de fleste tilfeller prøve å oppdatere sertifikatene for sikker oppstart automatisk. Selv om Microsoft gjør sitt beste for å oppdatere Sikker oppstart, vil det være noen situasjoner der oppdateringen ikke er garantert å gjelde og krever kundehandling. Kunden har det overordnede ansvaret for å oppdatere Secure Boot-sertifikatene.

Eksempler på situasjoner der Microsoft-administrerte enheter med diagnosedata aktivert, kanskje ikke mottar oppdateringer, omfatter:

• Oppdateringer for Microsoft Secure Boot gjelder bare for enkelte Windows-versjoner som støttes.
• Diagnosedataene som er aktivert på enheten, kan være blokkert av en brannmur i organisasjonen og ikke nå Microsoft.
• Det kan være noe galt med fastvaren på enheten.

Vær oppmerksom på Hva vil det si å være "administrert av Microsoft"? Systemet deler diagnosedata og administreres av Microsoft Cloud eller Intune.

Hvis enheten ikke deler diagnosedata med Microsoft og administreres av organisasjonens IT-avdeling eller av kunden, kan IT-avdelingen oppdatere systemene i henhold til Microsofts veiledning i utløpsdato og CA-oppdateringer for Windows Secure Boot-sertifikater.

Hvis datamaskinen administreres av Microsoft, oppdateres Secure Boot-sertifikater via Windows Update.

Hvis datamaskinen administreres av organisasjonen eller bedriftens IT-administrator, har IT-avdelingen metoder for å oppdatere systemet ved hjelp av veiledning i utløpsdato for Windows Secure Boot-sertifikat og CA-oppdateringer.

Kundestøtten for Windows 10 avvikles 14. oktober 2025. Hvis du vil ha mer informasjon, kan du se Windows 10-støtten avsluttes 14. oktober 2025.

Hvis du vil fortsette å motta sikkerhetsoppdateringer Oppdateringer etter denne datoen, kan kunder som er igjen på Windows 10, registrere seg for:

• Windows 10 Extended Security Oppdateringer-programmet (ESU), se Windows 10 Extended Security Oppdateringer-programmet (ESU)
• Eller hvis du har en støttet LTSC-versjon av Windows 10, vil den fortsette å få sikkerhets-Oppdateringer frem til LTSC-utløpsdatoen. Se for eksempel ESU-programmet (Extended Security Oppdateringer) for Windows 10

Obs!

• Windows 10 Enterprise LTSC er tilgjengelig for kjøp som en frittstående SKU eller som en del av et Windows Enterprise E3-abonnement.
• Windows IoT Enterprise LTSC kan kjøpes direkte fra en OEM eller via en leverandørlisens som en frittstående SKU.

Secure Boot-sertifikater gjør at fastvaren kan bekrefte at kritiske komponenter – for eksempel oppstartsadministratorer, alternativ-ROM-er (fastvaredrivere) og annen fastvarebasert programvare – er klarerte og ikke har blitt tuklet med. Microsoft bruker disse sertifikatene til å signere oppstartsbehandlere og andre komponenter som skal være klarert, i tillegg til oppdateringer for sikker oppstart. Når eldre sertifikater utløper, kan de ikke lenger brukes til å signere nye komponenter eller oppdateringer.

Enheter med sikker oppstart deaktivert, mottar ikke de nye Secure Boot-sertifikatene i fastvaren. Som et resultat vil de forbli sårbare for skadelig programvare på oppstartsnivå, for eksempel bootkits, fordi Secure Boot-beskyttelse ikke håndheves.

For kvalifiserte enheter – for eksempel de som mottar kumulative oppdateringer via konfidensbasert distribusjon eller er registrert i kontrollert funksjonsutrulling (CFR) med diagnosedata aktivert – vil Microsoft forsøke å oppdatere alle aktuelle sertifikater. Disse oppdateringene gis imidlertid som en hjelp, ikke en garanti. IT-administratorer forblir ansvarlige for å sikre at hele flåten er oppdatert, ved hjelp av Microsofts automatiserte CFR og andre dokumenterte distribusjonsmetoder.

Sertifikatene ble inkludert i kumulative oppdateringer (LCU) fra 13. mai 2025 og nyere. De brukes imidlertid ikke automatisk, det kreves flere trinn. Hvis du vil ha distribusjonsveiledning, kan du se https://aka.ms/getsecureboot.

De tjener forskjellige formål.

Fastvareoppdateringer kan oppdatere standardvariablene for Secure Boot som er lagret i fastvaren. Dette er hovedsakelig nyttig hvis innstillinger for sikker oppstart senere tilbakestilles til standardverdiene, fordi fastvarestandardene bestemmer hvilke sertifikater som gjenopprettes i det scenariet.

Windows bruker endringer på de aktive Secure Boot-variablene som håndheves under normal oppstart. Disse aktive variablene er det fastvaren bruker til å validere oppstartskomponenter, og det Windows er avhengig av for å levere fremtidig Secure Boot-beskyttelse.

I praksis er Windows ansvarlig for å holde den aktive konfigurasjonen for sikker oppstart oppdatert. Fastvareoppdateringer bidrar til å sikre at standardverdiene også oppdateres, noe som reduserer risikoen hvis Secure Boot tilbakestilles eller initialiseres på nytt i fremtiden.

Administratorer bør sikre at de aktive Secure Boot-variablene oppdateres og overvåke distribusjonsstatusen, uavhengig av om fastvareoppdateringer er tilgjengelige.

Det er to mulige baner:

• Microsoft vil forsøke å oppdatere datamaskinen av Microsoft med delte diagnosedata og operativsystemet støttes.
• Hvis enheten administreres av en IT-administrator som kunde, kan IT-avdelingen installere oppdateringene på det validerte settet med datamaskiner som trygt kan hente oppdateringer i henhold til Microsofts veiledning i utløpsdato for sertifikater for sikker oppstart og CA-oppdateringer.

Disse trinnene forventes å være tilgjengelig for de fleste kunder uten behov for en fastvareoppdatering fra OEM-er. Det vil imidlertid være visse tilfeller der oppdateringene ikke gjelder på grunn av kjente eller ukjente problemer i enhetsfastvaren. I slike tilfeller følger du OEM-veiledningen for fastvareoppdateringer.

Vær oppmerksom på Prosessen ovenfor gjelder de aktive variablene for sikker oppstart gjennom operativsystemet. Standardverdiene for fastvaren for sikker oppstart opprettholdes i fastvaren som utgis av OEM-en. Veiledningen er å ikke endre eller oppdatere konfigurasjonen av Secure Boot, med mindre OEM-en har gitt ut en oppdatering for å endre fastvarestandardene til de nye sertifikatene.

Hvis sertifikatene utløper, reduseres beskyttelsen mot sikker oppstart. Hvis systemet oppfyller kravene til et nyere operativsystem som Windows 11, vil det være mulig å oppgradere til en nyere OS-versjon av Windows 11.

Hvis Secure Boot ikke er aktivert på Windows 10 LTSC-enhetene dine, er de ikke inkludert i den gjeldende utrullingen av de nye Secure Boot-sertifikatene. Når du starter oppgraderingen til Windows 11 LTSC, må du følge spesifikke overføringstrinn som er relevante på det tidspunktet for å sikre at de nye 2023-sertifikatene er inkludert.

Bare støttede versjoner av Windows-operativsystemet vil motta sertifikatene.

For Windows som kjører i et virtuelt miljø, finnes det to metoder for å legge til de nye sertifikatene i fastvarevariablene for Secure Boot:

• Oppretteren av det virtuelle miljøet (AWS, Azure, Hyper-V, VMware osv.) kan gi en oppdatering for miljøet og inkludere de nye sertifikatene i den virtualiserte fastvaren. Dette vil fungere for nye virtualiserte enheter.
• For Windows som kjører langvarig i en virtuell maskin, kan oppdateringene brukes gjennom Windows som alle andre enheter, hvis den virtualiserte fastvaren støtter oppdateringer for sikker oppstart.

Disse kunde-/IT-administrerte miljøene mangler ofte tilstrekkelige diagnosedata til at Microsoft trygt og trygt kan rulle ut nye funksjoner. I tillegg foretrekker IT-avdelinger vanligvis å opprettholde full kontroll over oppdateringstidspunkt og innhold for å sikre samsvar, stabilitet og kompatibilitet med interne verktøy og arbeidsflyter. Mange bedriftsenheter fungerer også i sensitive eller begrensede miljøer der ekstern tilgang eller administrasjon – underforstått av CFR – kan være uønsket eller forbudt.

Hvis Windows allerede bruker den 2023-signerte oppstartsbehandlingen, men fastvaren tilbakestilles til standarder som ikke inkluderer Windows UEFI CA 2023-sertifikatet, blokkerer Secure Boot oppstartsprosessen.

For å fikse dette må du bruke 2023-sertifikatet på fastvarens DB på nytt ved hjelp av gjenopprettingsapplikasjonen. Dette gjøres ved å opprette en gjenopprettings-USB, og deretter starte den berørte enheten fra denne USB-en for å gjenopprette det manglende sertifikatet.

Hvis du vil ha trinnvise instruksjoner, kan du se Microsofts offisielle veiledning for oppdatering av Windows-installasjonsmedier.

Ja. De kumulative oppdateringene som inneholder de nye Secure Boot-sertifikatene kan fortsatt brukes selv om de eksisterende sertifikatene har utløpt. Hvis enheten kan starte Windows og installere oppdateringer, kan de oppdaterte sertifikatene skrives til fastvaren ved å følge den publiserte distribusjonsveiledningen. De fleste enheter vil motta disse oppdateringene automatisk, men noen systemer kan kreve ytterligere fastvareoppdateringer.