Pogosta vprašanja o postopku posodabljanja za varni zagon

Po poteku potrdil varnega zagona se bodo naprave, ki niso prejele novejših potrdil 2023, še naprej začele in normalno delovale, standardne posodobitve sistema Windows pa se bodo še naprej nameščale. Vendar pa te naprave ne bodo več mogle prejemati novih varnostnih zaščite za postopek zgodnjega zagona, vključno s posodobitvami upravitelja zagona sistema Windows, zbirkami podatkov varnega zagona, seznami preklica ali ublažitvami za novo odkrite ranljivosti na ravni zagona.

Sčasoma to omeji zaščito naprave pred nastajajočimi grožnjami in lahko vpliva na scenarije, ki se zanašajo na zaupanje varnega zagona, kot so utrjevanje BitLockerja ali zagonski nalagalniki drugih proizvajalcev. Večina naprav s sistemom Windows bo samodejno prejela posodobljena potrdila, številni proizvajalci strojne opreme pa so po potrebi zagotovili posodobitve vdelane programske opreme. Če vaša naprava posodablja s temi posodobitvami, lahko še naprej prejema celoten nabor varnostnih zaščit, ki jih zagotavlja varen zagon.

Najbolje je, da potrdila varnega zagona posodobite precej pred datumom poteka junija 2026.

Če vašo napravo upravlja Microsoft in deli diagnostične podatke z Microsoftom, bo Microsoft v večini primerov poskušal samodejno posodobiti potrdila varnega zagona. Medtem ko se bo Microsoft potrudil posodobiti varni zagon, bo prišlo do nekaterih primerov, ko posodobitev ne bo zagotovljena in bo potrebovala ukrepanje stranke. Stranka je na koncu odgovorna za posodobitev potrdil varnega zagona.

Primeri primerov, v katerih Microsoftove upravljane naprave z omogočenimi diagnostičnimi podatki morda ne prejemajo posodobitev:

• Posodobitve za Microsoftov varni zagon veljajo le za nekatere podprte različice sistema Windows.
• Diagnostične podatke, ki so omogočeni v vaši napravi, morda blokira požarni zid v vaši organizaciji in ne dosežejo Microsofta.
• Morda je nekaj narobe z vdelano programsko opremo v napravi.

Opomba Kaj pomeni biti »upravljan s strani Microsofta«? Sistem je v skupni rabi diagnostične podatke in ga upravlja Microsoft Cloud ali Intune.

Če vaša naprava ne daje diagnostičnih podatkov v skupno rabo z Microsoftom in jo upravlja oddelek za IT vaše organizacije ali stranka, lahko oddelek za IT posodobi sisteme v skladu z Microsoftovimi navodili v razdelku Potek potrdila za varen zagon sistema Windows in posodobitve potrdila CA.

Če računalnik upravlja Microsoft, se potrdila varnega zagona posodobijo prek storitve Windows Update.

Če računalnik upravlja vaša organizacija ali poslovni skrbnik za IT, ima oddelek za IT načine za posodobitev sistema z navodili v razdelku Potek potrdila za varen zagon sistema Windows in posodobitve potrdila za overitev identitete.

Podpora za Windows 10 se konča 14. oktobra 2025. Če želite več informacij, glejte Podpora za Windows 10 se konča 14. oktobra 2025.

Če želite še naprej prejemati varnostne Posodobitve po tem datumu, se lahko stranke, ki še vedno uporabljajo sistem Windows 10, prijavijo za:

• V programu Windows 10 Extended Security Posodobitve (ESU) glejte Program Windows 10 Extended Security Posodobitve (ESU)
• Če pa imate podprto različico LTSC sistema Windows 10, bo varnostne Posodobitve še naprej prejemal do datuma poteka veljavnosti LTSC. Oglejte si na primer program Razširjene varnostne Posodobitve (ESU) za Windows 10

Opomba

• Windows 10 Enterprise LTSC je na voljo za nakup kot samostojna SKU ali kot del naročnine na Windows Enterprise E3.
• Windows IoT Enterprise LTSC lahko kupite neposredno pri proizvajalcu originalne opreme ali prek licence prodajalca kot samostojno inventarno številko.

Potrdila za varen zagon omogočajo vdelani programski opremi, da preveri, ali so kritične komponente, kot so upravitelji zagona, gonilniki vdelane programske opreme in druga programska oprema, zaupanja vredne in ali niso bile spremenjene. Microsoft s temi potrdili podpisuje upravitelje zagona in druge komponente, ki jim je treba zaupati, ter posodobitve varnega zagona. Ko starejša potrdila potečejo, jih ni več mogoče uporabiti za podpisovanje novih komponent ali posodobitev.

Naprave z onemogočenim varnim zagonom ne bodo prejele novih potrdil varnega zagona v vdelani programski opremi. Posledično bodo ostali ranljivi za zlonamerno programsko opremo na ravni zagona, kot so zagonski kompleti, ker se zaščita varnega zagona ne uveljavlja.

Za upravičene naprave, na primer tiste, ki prejemajo zbirne posodobitve prek uvedbe na podlagi zaupanja ali so včlanjene v uvedbo nadzorovanih funkcij (CFR) z omogočenimi diagnostičnimi podatki, bo Microsoft poskušal posodobiti vsa veljavna potrdila. Vendar pa so te posodobitve na voljo kot pomoč in ne kot jamstvo. Skrbniki IT so še naprej odgovorni za posodabljanje celotnega voznega parka z uporabo Microsoftovega avtomatiziranega CFR in drugih dokumentiranih metod uvajanja.

Potrdila so bila vključena v zbirne posodobitve (LCU) 13. maja 2025 in pozneje. Vendar pa se ne uporabljajo samodejno, potrebni so dodatni koraki. Za navodila za uvajanje glejte https://aka.ms/getsecureboot.

Služijo različnim namenom.

Posodobitve vdelane programske opreme lahko posodobijo privzete spremenljivke varnega zagona, shranjene v vdelani programski opremi. To je uporabno predvsem v primeru, če so nastavitve varnega zagona pozneje ponastavljene na privzete vrednosti, ker privzete nastavitve vdelane programske opreme določajo, katera potrdila bodo obnovljena v tem scenariju.

Windows uporabi spremembe aktivnih spremenljivk varnega zagona, ki se uveljavijo med običajnim zagonom. Te aktivne spremenljivke so tisto, kar vdelana programska oprema uporablja za preverjanje veljavnosti zagonskih komponent in na kar se Windows zanaša za zagotavljanje prihodnje zaščite varnega zagona.

V praksi je Windows odgovoren za ohranjanje aktivne konfiguracije varnega zagona. Posodobitve vdelane programske opreme pomagajo zagotoviti, da so posodobljene tudi privzete vrednosti, kar zmanjšuje tveganje v primeru ponastavitve ali ponovne inicializacije varnega zagona v prihodnosti.

Skrbniki morajo zagotoviti, da so aktivne spremenljivke varnega zagona posodobljene, in spremljati stanje uvajanja, ne glede na to, ali so na voljo posodobitve vdelane programske opreme.

Obstajata dve možni poti:

• Če računalnik upravlja Microsoft z diagnostičnimi podatki v skupni rabi in je operacijski sistem podprt, bo Microsoft poskusil posodobiti.
• Če napravo upravlja ali upravlja skrbnik za IT, lahko oddelek za IT posodobitve uporabi v preverjenem naboru računalnikov, ki lahko varno prevzamejo posodobitve v skladu z Microsoftovimi navodili v razdelku Potek potrdila za varen zagon sistema Windows in posodobitve CA

Pričakuje se, da bodo ti koraki obravnavali večino strank, ne da bi potrebovali posodobitev strojne programske opreme s strani proizvajalcev strojne opreme. Vendar pa bodo nekateri primeri posodobitve ne veljajo zaradi znanih ali neznanih težav v vdelani programski opremi naprave. V takih primerih upoštevajte navodila OEM za posodobitve vdelane programske opreme.

Opomba Zgornji postopek uporablja aktivne spremenljivke varnega zagona prek operacijskega sistema. Privzete vrednosti vdelane programske opreme za varen zagon se ohranijo v vdelani programski opremi, ki jo izda proizvajalec strojne opreme. Navodila so, da konfiguracije varnega zagona ne spreminjate ali posodabljate, razen če je proizvajalec originalne opreme izdal posodobitev za spremembo privzetih nastavitev vdelane programske opreme na nova potrdila.

Če potrdila potečejo, je zaščita varnega zagona slabša. Če sistem izpolnjuje zahteve za novejši operacijski sistem, kot je Windows 11, bo mogoče nadgraditi na novejšo različico operacijskega sistema Windows 11.

Če varni zagon ni omogočen v napravah s sistemom Windows 10 LTSC, niso vključeni v trenutno uvedbo novih potrdil varnega zagona. Ko začnete nadgradnjo na Windows 11 LTSC, boste morali slediti določenim korakom selitve, ki so pomembni v tistem času, da zagotovite, da so vključena nova potrdila za leto 2023.

Potrdila bodo prejele samo podprte različice operacijskega sistema Windows.

Za Windows, ki se izvaja v navideznem okolju, obstajata dva načina za dodajanje novih potrdil v spremenljivke vdelane programske opreme varnega zagona:

• Ustvarjalec virtualnega okolja (AWS, Azure, Hyper-V, VMware itd.) lahko zagotovi posodobitev okolja in vključi nova potrdila v virtualizirano vdelano programsko opremo. To bi delovalo za nove virtualizirane naprave.
• Za Windows, ki se dolgoročno izvaja v VM, lahko posodobitve uporabite prek sistema Windows kot vse druge naprave, če virtualizirana vdelana programska oprema podpira posodobitve varnega zagona.

V teh okoljih, ki jih upravljajo stranke/IT, pogosto primanjkuje dovolj diagnostičnih podatkov, da bi Microsoft lahko samozavestno in varno uvedel nove funkcije. Poleg tega oddelki za IT običajno raje ohranijo popoln nadzor nad časom in vsebino posodobitev, da zagotovijo skladnost, stabilnost in združljivost z notranjimi orodji in poteki dela. Številne naprave za podjetja delujejo tudi v občutljivih ali omejenih okoljih, kjer sta zunanji dostop ali upravljanje – nakazana s CFR – nezaželena ali prepovedana.

Če sistem Windows že uporablja upravitelja zagona, podpisanega v letu 2023, vendar je vdelana programska oprema ponastavljena na privzete vrednosti, ki ne vključujejo potrdila Windows UEFI CA 2023, bo varni zagon blokiral postopek zagona.

Če želite odpraviti to težavo, morate z aplikacijo za obnovitev znova uporabiti potrdilo 2023 za zbirko podatkov vdelane programske opreme. To naredite tako, da ustvarite obnovitveni USB, nato pa s tega USB zaženete prizadeto napravo, da obnovite manjkajoče potrdilo.

Če želite navodila po korakih, glejte Microsoftova uradna navodila za posodobitev namestitvenega medija sistema Windows.

Da. Zbirne posodobitve, ki vsebujejo nova potrdila za varni zagon, je mogoče še vedno uporabljati, tudi če so obstoječa potrdila potekla. Če naprava lahko zažene Windows in namesti posodobitve, lahko posodobljene certifikate zapišete v vdelano programsko opremo tako, da upoštevate objavljena navodila za uvajanje. Večina naprav te posodobitve prejme samodejno, vendar pa bodo nekateri sistemi morda zahtevali dodatne posodobitve vdelane programske opreme.