Expiração do certificado de Arranque Seguro do Windows e atualizações da AC

O que é Inicialização Segura?

A Inicialização Segura é um recurso de segurança no firmware baseado em UEFI (Unified Extensible Firmware Interface) que ajuda a garantir que apenas o software confiável seja executado durante a sequência de inicialização (inicialização) de um dispositivo. Ele funciona verificando a assinatura digital do software de pré-inicialização em um conjunto de certificados digitais confiáveis (também conhecidos como autoridade de certificado ou AC) armazenados no firmware do dispositivo. Como padrão do setor, o UEFI Secure Boot define como o firmware de plataforma gerencia os certificados, autentica o firmware e como o sistema operacional (sistema operacional) interfaces com esse processo. Para obter mais detalhes sobre UEFI e Inicialização Segura, consulte Inicialização segura.

A Inicialização Segura foi introduzida pela primeira vez no Windows 8 para proteger contra a ameaça emergente de malware pré-inicialização (também conhecido como bootkit) na época. Como parte da inicialização da plataforma, a Inicialização Segura autentica módulos de firmware antes da execução. Esses módulos incluem drivers de firmware UEFI (como ROMs de opção), carregadores de inicialização e aplicativos. Como a etapa final do processo de Inicialização Segura, o firmware verifica se a Inicialização Segura confia no carregador de inicialização. Em seguida, o firmware passa o controle para o carregador de inicialização, que, por sua vez, verifica, carrega na memória e inicia o sistema operacional Windows.

A Inicialização Segura define o código confiável por meio de um conjunto de políticas de firmware durante a fabricação. Alterações nessa política, como adicionar ou revogar certificados, são controladas por uma hierarquia de chaves. Essa hierarquia começa com a Chave de Plataforma (PK), normalmente de propriedade do fabricante de hardware, seguida pela KEK (Chave de Registro de Chave) (também conhecida como Key Exchange Key), que pode incluir um KEK da Microsoft e outros KEKs OEM. O DB (Banco de Dados de Assinatura Permitido) e o DBX (Banco de Dados de Assinatura Não Permitido) determinam qual código pode ser executado no ambiente UEFI antes do início do sistema operacional. O DB inclui certificados gerenciados pela Microsoft e pelo OEM, enquanto o DBX é atualizado pela Microsoft com as revogações mais recentes. Qualquer entidade com um KEK pode atualizar o DB e o DBX.

Certificados de Inicialização Segura do Windows expirando em 2026

Desde que o Windows introduziu o suporte à Inicialização Segura, todos os dispositivos baseados no Windows carregaram o mesmo conjunto de certificados da Microsoft no KEK e no DB. Esses certificados originais estão se aproximando da data de validade e o dispositivo será afetado se ele tiver alguma das versões de certificado listadas. Para continuar executando o Windows e recebendo atualizações regulares para sua configuração de Inicialização Segura, você precisará atualizar esses certificados.

Terminologia

• KEK: Chave de registro de chave

• CA: Autoridade de Certificado

• DB: Banco de Dados de Assinatura de Inicialização Segura

• DBX: Banco de Dados de Assinatura Revogada de Inicialização Segura

A Microsoft emitiu certificados atualizados para garantir a continuidade da proteção contra inicialização segura em dispositivos Windows. A Microsoft gerenciará o processo de atualização desses novos certificados em uma parte significativa dos dispositivos Windows. Além disso, ofereceremos diretrizes detalhadas para organizações que gerenciam suas próprias atualizações de dispositivo.

Importante Quando os CAs de 2011 expirarem, os dispositivos Windows que não têm novos certificados 2023 não poderão mais receber correções de segurança para componentes de pré-inicialização que comprometem a segurança de inicialização do Windows.

Chamada para ação

Talvez seja necessário tomar medidas para garantir que seu dispositivo Windows permaneça seguro quando os certificados expirarem em 2026. O DB de Inicialização Segura UEFI e o KEK precisam ser atualizados com as novas versões de certificado 2023 correspondentes. Para obter mais informações sobre os novos certificados, consulte Windows Secure Boot Key Creation and Management Guidance. 

Importante Sem atualizações, os dispositivos Windows habilitados para Inicialização Segura correm o risco de não receber atualizações de segurança ou confiar em novos carregadores de inicialização, o que comprometerá a capacidade de serviço e a segurança.

Suas ações variam dependendo do tipo de dispositivo Windows que você tem. Selecione no menu à esquerda para o tipo de dispositivo e a ação específica que você precisa tomar.