Najčastejšie otázky o procese aktualizácie zabezpečeného zavedenia systému

Po uplynutí platnosti certifikátov zabezpečeného zavedenia systému sa zariadenia, ktoré nedostali novšie certifikáty z roku 2023, budú naďalej spúšťať a fungovať normálne a budú sa naďalej inštalovať štandardné aktualizácie Windowsu. Tieto zariadenia však už nebudú môcť prijímať novú ochranu zabezpečenia pre proces včasného spustenia vrátane aktualizácií Správcu spustenia Windows, databáz zabezpečeného spustenia, zoznamov zrušených riešení alebo zmiernení novo zistených chýb úrovne spúšťania.

Postupom času sa tým obmedzí ochrana zariadenia pred novými hrozbami a môže to ovplyvniť scenáre, ktoré závisia od dôveryhodnosti Zabezpečeného zavedenia systému, ako je napríklad posilnenie šifrovania BitLocker alebo zavádzacie programy tretích strán. Väčšina zariadení s Windowsom dostane aktualizované certifikáty automaticky a mnohí výrobcovia OEM poskytli v prípade potreby aktualizácie firmvéru. Ak budete mať vo svojom zariadení aktuálnosť týchto aktualizácií, zabezpečíte, že bude môcť aj naďalej dostávať úplnú sadu bezpečnostných ochranných opatrení, ktoré má zabezpečené spustenie poskytovať.

Certifikáty zabezpečeného zavedenia systému je najlepšie aktualizovať v dostatočnom predstihu pred dátumom vypršania platnosti v júni 2026.

Ak vaše zariadenie spravuje spoločnosť Microsoft a zdieľa diagnostické údaje so spoločnosťou Microsoft, potom sa spoločnosť Microsoft vo väčšine prípadov pokúsi automaticky aktualizovať certifikáty zabezpečeného spustenia. Hoci spoločnosť Microsoft urobí všetko pre to, aby Zabezpečené spustenie aktualizovala, v určitých situáciách sa nezaručuje, že aktualizácia bude fungovať a bude si vyžadovať akciu od zákazníka. Zákazník je v konečnom dôsledku zodpovedný za aktualizáciu certifikátov zabezpečeného spustenia.

Príklady situácií, v ktorých zariadenia spravované spoločnosťou Microsoft s povolenými diagnostickými údajmi nemusia dostávať aktualizácie:

• Aktualizácie zabezpečeného spustenia spoločnosti Microsoft sa vzťahujú len na niektoré podporované verzie Windowsu.
• Diagnostické údaje povolené vo vašom zariadení môžu byť blokované bránou firewall vo vašej organizácii a môžu sa dostať do spoločnosti Microsoft.
• Môže byť problém s firmvérom v zariadení.

Poznámka Čo znamená byť "spravovaný spoločnosťou Microsoft"? Systém zdieľa diagnostické údaje a spravuje ho Microsoft Cloud alebo Intune.

Ak vaše zariadenie nezdieľa diagnostické údaje so spoločnosťou Microsoft a spravuje ho IT oddelenie vašej organizácie alebo zákazník, IT oddelenie môže aktualizovať systémy podľa pokynov spoločnosti Microsoft v téme o uplynutí platnosti certifikátu zabezpečeného zavedenia systému Windows a aktualizáciách certifikačnej autority.

Ak počítač spravuje spoločnosť Microsoft, certifikáty zabezpečeného spustenia sa aktualizujú prostredníctvom služby Windows Update.

Ak počítač spravuje vaša organizácia alebo podnikový správca IT, potom má IT oddelenie postupy na aktualizáciu systému pomocou pokynov v téme Uplynutie platnosti certifikátu zabezpečeného zavedenia systému Windows a aktualizácie CA.

Podpora pre Windows 10 sa končí 14. októbra 2025. Ďalšie informácie nájdete v téme Podpora pre Windows 10 končí 14. októbra 2025.

Ak chcú zákazníci zostávajúci vo Windowse 10 naďalej dostávať bezpečnostné aktualizácie po tomto dátume, môžu sa zaregistrovať na nasledujúce účely:

• Program predĺženej doby poskytovania aktualizácií zabezpečenia (ESU) pre Windows 10, pozrite si časť Program predĺženej doby poskytovania aktualizácií zabezpečenia (ESU) pre Windows 10.
• Alebo ak máte podporovanú verziu LTSC Windows 10, bude naďalej dostávať Aktualizácie zabezpečenia až do dátumu uplynutia platnosti LTSC. Pozrite si napríklad program predĺženej doby poskytovania aktualizácií zabezpečenia (ESU) pre Windows 10.

Poznámka:

• Windows 10 Enterprise LTSC je k dispozícii na zakúpenie buď ako samostatná jednotka SKU, alebo ako súčasť predplatného na Windows Enterprise E3.
• Windows IoT Enterprise LTSC je možné zakúpiť priamo od výrobcu OEM alebo prostredníctvom licencie dodávateľa ako samostatnú jednotku SKU.

Certifikáty zabezpečeného spustenia umožňujú firmvéru overiť, či sú kritické súčasti, ako sú správcovia zavádzania, voliteľné ROM (ovládače firmvéru) a ďalší softvér založený na firmvéri, dôveryhodné a či sa s nimi nemanipulovalo. Spoločnosť Microsoft používa tieto certifikáty na podpísanie správcov spustenia a ďalších súčastí, ktoré by mali byť dôveryhodné, ako aj aktualizácií zabezpečeného zavedenia systému. Po uplynutí platnosti starších certifikátov ich už nemožno použiť na podpisovanie nových súčastí alebo aktualizácií.

Zariadenia s vypnutým zabezpečeným spustením nedostanú nové certifikáty zabezpečeného spustenia vo firmvére. V dôsledku toho budú naďalej zraniteľné voči malvéru na úrovni spustenia, ako sú napríklad spúšťacie súpravy, pretože ochrany zabezpečeného spustenia nie sú vynútené.

V prípade oprávnených zariadení – napríklad zariadení, ktoré dostávajú kumulatívne aktualizácie prostredníctvom nasadenia založeného na spoľahlivosti alebo sú zaregistrované v riadenom zavádzaní funkcií (CFR) so zapnutými diagnostickými údajmi, sa spoločnosť Microsoft pokúsi aktualizovať všetky príslušné certifikáty. Tieto aktualizácie sú však poskytované ako pomoc, nie ako záruka. Správcovia IT zostávajú zodpovední za zabezpečenie aktualizácie celej svojej flotily pomocou automatizovaného CFR spoločnosti Microsoft a ďalších zdokumentovaných metód nasadenia.

Certifikáty boli zahrnuté do kumulatívnych aktualizácií (LCU) z 13. mája 2025 a novších. Nepoužijú sa však automaticky a vyžadujú sa ďalšie kroky. Pokyny na nasadenie nájdete v téme https://aka.ms/getsecureboot.

Slúžia na rôzne účely.

Aktualizácie firmvéru môžu aktualizovať predvolené premenné zabezpečeného zavedenia systému uložené vo firmvére. Toto je užitočné predovšetkým v prípade, že sa nastavenia zabezpečeného spustenia neskôr obnovia na predvolené hodnoty, pretože predvolené hodnoty firmvéru určujú, ktoré certifikáty sa v danom scenári obnovia.

Windows aplikuje zmeny na aktívne premenné Secure Boot, ktoré sa vynucujú počas normálneho spustenia. Tieto aktívne premenné sú tie, ktoré firmvér používa na overenie súčastí spustenia a na čo sa spolieha Windows pri poskytovaní budúcich ochrany zabezpečeného spustenia.

V praxi je Windows zodpovedný za udržiavanie aktívnej konfigurácie Secure Boot aktuálnej. Aktualizácie firmvéru pomáhajú zabezpečiť, aby sa aktualizovali aj predvolené hodnoty, čím sa znižuje riziko v prípade resetovania alebo opätovnej inicializácie zabezpečeného zavedenia systému v budúcnosti.

Správcovia by mali zabezpečiť aktualizáciu aktívnych premenných Zabezpečeného zavedenia systému a monitorovať stav nasadenia bez ohľadu na to, či sú k dispozícii aktualizácie firmvéru.

Existujú dve možné cesty:

• Ak počítač spravuje spoločnosť Microsoft so zdieľanými diagnostickými údajmi a operačný systém je podporovaný, spoločnosť Microsoft sa pokúsi o aktualizáciu.
• Ak zariadenie spravuje alebo spravuje správca IT, potom môže IT oddelenie použiť aktualizácie na overenú skupinu počítačov, ktoré môžu bezpečne prijímať aktualizácie podľa pokynov spoločnosti Microsoft v oblasti uplynutia platnosti certifikátu zabezpečeného zavedenia systému Windows a aktualizácií CA.

Tieto kroky by mali osloviť väčšinu zákazníkov bez potreby aktualizácie firmvéru od výrobcov OEM. V určitých prípadoch sa však aktualizácie neuplatnia z dôvodu známych alebo neznámych problémov vo firmvéri zariadenia. V takom prípade postupujte podľa pokynov OEM týkajúcich sa aktualizácií firmvéru.

Poznámka Vyššie uvedený proces použije aktívne premenné zabezpečeného zavedenia systému prostredníctvom operačného systému. Predvolené hodnoty firmvéru zabezpečeného zavedenia systému sa zachovávajú vo firmvéri, ktorý je vydaný výrobcom OEM. Odporúča sa nemeniť ani aktualizovať konfiguráciu zabezpečeného zavedenia systému, pokiaľ výrobca OEM nevydal aktualizáciu na zmenu predvolených nastavení firmvéru na nové certifikáty.

Ak platnosť certifikátov uplynie, ochrana zabezpečeného zavedenia systému bude obmedzená. Ak systém spĺňa požiadavky na novší operačný systém, ako je napríklad Windows 11, bude možné upgradovať na novšiu verziu operačného systému Windows 11.

Ak funkcia Zabezpečené spustenie nie je povolená v zariadeniach so systémom Windows 10 LTSC, nie je zahrnutá v aktuálnom zavedení nových certifikátov zabezpečeného spustenia. Pri začatí inovácie na Windows 11 LTSC budete musieť vykonať konkrétne kroky migrácie, ktoré sú v tom čase relevantné, aby ste zabezpečili zahrnutie nových certifikátov z roku 2023.

Certifikáty získajú iba podporované verzie operačného systému Windows.

Pre Windows spustený vo virtuálnom prostredí existujú dva spôsoby na pridanie nových certifikátov do premenných firmvéru Zabezpečeného zavedenia systému:

• Tvorca virtuálneho prostredia (AWS, Azure, Hyper-V, VMware atď.) môže zabezpečiť aktualizáciu prostredia a zahrnúť nové certifikáty do virtualizovaného firmvéru. Bude to fungovať aj pre nové virtualizované zariadenia.
• V prípade Windowsu, ktorý je dlhodobo spustený vo virtuálnom počítači, aktualizácie možno aplikovať prostredníctvom Windowsu ako akékoľvek iné zariadenia, ak virtualizovaný firmvér podporuje aktualizácie zabezpečeného spustenia.

V týchto prostrediach spravovaných zákazníkmi alebo IT často chýbajú dostatočné diagnostické údaje, aby spoločnosť Microsoft mohla s istotou a bezpečne zavádzať nové funkcie. IT oddelenia navyše zvyčajne uprednostňujú úplnú kontrolu nad načasovaním a obsahom aktualizácií, aby sa zaistil súlad, stabilita a kompatibilita s internými nástrojmi a pracovnými postupmi. Mnohé podnikové zariadenia pracujú aj v citlivých alebo obmedzených prostrediach, kde externý prístup alebo správa – implikovaná CFR – môže byť nežiaduca alebo zakázaná.

Ak Windows už používa správcu spúšťania podpísaného v roku 2023, ale firmvér sa resetoval na predvolené hodnoty, ktoré nezahŕňajú certifikát Windows UEFI CA 2023, zabezpečené spustenie zablokuje proces spúšťania.

Ak chcete tento problém vyriešiť, musíte znova použiť certifikát 2023 do databázy firmvéru pomocou aplikácie na obnovenie. Urobíte to vytvorením obnovovacieho USB kľúča a následným spustením ovplyvneného zariadenia z tohto USB kľúča, aby sa obnovil chýbajúci certifikát.

Podrobné pokyny nájdete v oficiálnych pokynoch spoločnosti Microsoft na aktualizáciu inštalačného média systému Windows.

Áno. Kumulatívne aktualizácie, ktoré obsahujú nové certifikáty zabezpečeného zavedenia systému, môžu byť použité aj v prípade, že platnosť existujúcich certifikátov uplynula. Ak zariadenie dokáže spustiť systém Windows a nainštalovať aktualizácie, aktualizované certifikáty je možné zapísať do firmvéru podľa pokynov na nasadenie. Väčšina zariadení dostane tieto aktualizácie automaticky, ale niektoré systémy môžu vyžadovať ďalšie aktualizácie firmvéru.