Wanneer certificaten voor beveiligd opstarten verlopen op Windows-apparaten

Wat gebeurt er als de certificaten verlopen

Als uw apparaat de vervaldatum bereikt zonder de nieuwe certificaten, wordt het nog steeds gestart en werkt het normaal. Standaard Windows-updates blijven worden geïnstalleerd. Het apparaat kan echter geen nieuwe beveiligingsbescherming meer ontvangen voor het vroege opstartproces. Dit omvat updates voor Windows Boot Manager, beveiligde opstartdatabases en intrekkingslijsten, en oplossingen voor zojuist gedetecteerde beveiligingsproblemen in de opstartketen.

Naarmate er nieuwe bedreigingen ontstaan, wordt een apparaat met deze verlopen status steeds minder beveiligd. Scenario's die afhankelijk zijn van een vertrouwensrelatie voor beveiligd opstarten (zoals BitLocker-beveiliging, integriteit van opstartcode op opstartniveau of opstartlaadprogramma's van derden en optie-ROM's) kunnen ook worden beïnvloed als ze een bijgewerkte vertrouwensrelatie voor beveiligd opstarten vereisen.

Wat blijft werken

• Het apparaat blijft normaal opstarten.

• Windows-updates blijven worden geïnstalleerd, behalve voor opstartgerelateerde beveiligingsonderdelen waarvoor de bijgewerkte certificaten zijn vereist.

• Dagelijks app-gebruik, netwerken, browsen en de meeste functies van het besturingssysteem blijven ongewijzigd.

Wat niet meer werkt

• Nieuwe beveiligingen voor beveiligd opstarten en opstartbeheer kunnen niet worden toegepast.

• Oplossingen voor beveiligingsproblemen voor de vroege opstartomgeving, zoals bitlocker-bypass-oplossingen of intrekkingen van beveiligd opstarten, zijn niet beschikbaar.

• Sommige onderdelen van derden die afhankelijk zijn van de Microsoft Secure Boot-vertrouwensrelatie, kunnen mogelijk niet worden bijgewerkt als nieuwere certificaatvermeldingen zijn vereist.

Beschermd blijven

De meeste persoonlijke Windows-apparaten ontvangen automatisch de nieuwe certificaten voor beveiligd opstarten via door Microsoft beheerde updates. Voor apparaten die worden beheerd door een organisatie, moeten IT-beheerders de richtlijnen voor het bijwerken van certificaten voor beveiligd opstarten van Microsoft volgen. Voor sommige apparaten is mogelijk een OEM-firmware-update vereist om de nieuwe certificaten correct toe te passen. Neem voor elk apparaat, persoonlijk of door de organisatie beheerde, contact op met uw OEM voor informatie over vereiste firmware-updates. Houd er rekening mee dat dergelijke updates mogelijk alleen beschikbaar zijn voor apparaten die nog binnen de ondersteuningsperiode vallen. Als u uw apparaat up-to-date houdt, zorgt u ervoor dat het de volledige beveiliging blijft ontvangen die Beveiligd opstarten is ontworpen om te bieden.

Opmerking: Beveiligd opstarten moet niet worden uitgeschakeld om het verlopen van het certificaat te omzeilen. Het uitschakelen van Beveiligd opstarten vermindert de beveiliging van het apparaat aanzienlijk, verwijdert beveiliging tegen malware op opstartniveau en kan nieuwe beveiligings- en nalevingsrisico's creëren. Het aanbevolen pad is om ervoor te zorgen dat uw apparaat de bijgewerkte 2023-certificaten voor beveiligd opstarten en eventuele vereiste OEM-firmware-updates ontvangt.