Истечение срока действия сертификатов безопасной загрузки на устройствах Windows

Что произойдет, если срок действия сертификатов истекает

Если срок действия устройства истекает без новых сертификатов, он по-прежнему будет запускаться и работать в обычном режиме. Standard обновления Windows будут продолжать устанавливаться. Однако устройство больше не сможет получать новые средства безопасности для процесса ранней загрузки. Сюда входят обновления диспетчера загрузки Windows, базы данных безопасной загрузки и списки отзыва, а также исправления для вновь обнаруженных уязвимостей в цепочке загрузки.

По мере появления новых угроз устройство в этом состоянии с истекшим сроком действия становится все менее защищенным. Сценарии, в которых используется доверие к безопасной загрузке (например, усиление защиты BitLocker, целостность кода на уровне загрузки или сторонние загрузчики и дополнительные ПЗУ), также могут быть затронуты, если им требуется обновленное доверие к безопасной загрузке.

Что продолжает работать

• Устройство продолжает работать в обычном режиме.

• Обновления Windows продолжают устанавливаться, за исключением компонентов безопасности, связанных с загрузкой, для которых требуются обновленные сертификаты.

• Ежедневное использование приложений, сети, просмотр и большинство функций ОС остаются неизменными.

Что больше не работает

• Новые защиты secure boot и Boot Manager не могут быть применены.

• Исправления уязвимостей для среды ранней загрузки, такие как обход BitLocker или отмена безопасной загрузки, будут недоступны.

• Некоторые сторонние компоненты, использующие доверие к безопасной загрузке Майкрософт, могут не обновляться, если им требуются новые записи сертификатов.

Как оставаться защищенным

Большинство личных устройств Windows будут автоматически получать новые сертификаты безопасной загрузки через обновления, управляемые Корпорацией Майкрософт. Для устройств, управляемых организацией, ИТ-администраторы должны следовать рекомендациям Майкрософт по обновлению сертификатов безопасной загрузки. Для правильного применения новых сертификатов на некоторых устройствах может потребоваться обновление встроенного ПО OEM. Для любых устройств, личных или управляемых организацией обратитесь к изготовителю оборудования, чтобы получить сведения о необходимых обновлениях встроенного ПО, учитывая, что такие обновления могут быть доступны только для устройств, которые еще находятся в течение периода поддержки. Поддержание устройства в актуальном состоянии гарантирует, что оно по-прежнему получает полную защиту, которую обеспечивает безопасная загрузка.

Примечание. Безопасная загрузка не должна быть отключена, чтобы обойти истечение срока действия сертификата. Отключение безопасной загрузки значительно снижает защиту устройств, устраняет защиту от вредоносных программ на уровне загрузки и может создавать новые риски для безопасности и соответствия требованиям. Рекомендуемый путь — убедиться, что устройство получает обновленные сертификаты безопасной загрузки 2023 года и все необходимые обновления встроенного ПО oem.