När certifikat för säker start upphör att gälla på Windows-enheter

Vad händer om certifikaten upphör att gälla

Om enheten når förfallodatumet utan de nya certifikaten kommer den fortfarande att starta och fungera normalt. Standarduppdateringar för Windows fortsätter att installeras. Enheten kommer dock inte längre att kunna få nya säkerhetsskydd för den tidiga startprocessen. Detta omfattar uppdateringar av Windows Boot Manager, databaser för säker start och återkallningslistor samt korrigeringar för nyligen upptäckta sårbarheter i startkedjan.

När nya hot uppstår blir en enhet i det här utgångna tillståndet gradvis mindre skyddad. Scenarier som förlitar sig på förtroende för säker start (t.ex. BitLocker-härdning, kodintegritet på startnivå eller tredjepartsstartladdare och alternativ-ROM) kan också påverkas om de kräver uppdaterat förtroende för säker start.

Vad som fortsätter att fungera

• Enheten fortsätter att starta normalt.

• Windows-uppdateringar fortsätter att installeras, med undantag för startrelaterade säkerhetskomponenter som kräver de uppdaterade certifikaten.

• Daglig appanvändning, nätverk, surfning och de flesta os-funktioner förblir oförändrade.

Vad fungerar inte längre

• Nya skydd för säker start och Starthanteraren kan inte användas.

• Sårbarhetskorrigeringar för den tidiga startmiljön , till exempel BitLocker bypass-åtgärder eller säker start-återkallelse, kommer inte att vara tillgängliga.

• Vissa komponenter från tredje part som är beroende av Microsoft Secure Boot-förtroende kan misslyckas med att uppdatera om de kräver nyare certifikatposter.

Så här skyddar du dig

De flesta personliga Windows-enheter får automatiskt de nya certifikaten för säker start via Microsoft-hanterade uppdateringar. För enheter som hanteras av en organisation bör IT-administratörer följa Microsofts vägledning för uppdatering av certifikat för säker start. För vissa enheter kan det krävas en uppdatering av oem-tillverkarens inbyggda programvara för att tillämpa de nya certifikaten på rätt sätt. För alla enheter, personliga enheter eller organisationshanterade, kontaktar du OEM-tillverkaren för att få information om nödvändiga uppdateringar av den inbyggda programvaran, och tänk på att sådana uppdateringar kanske bara är tillgängliga för enheter som fortfarande är under supportperioden. Om du håller enheten uppdaterad ser du till att den fortsätter att få det fullständiga skyddet som Säker start är utformat för.

Obs! Säker start ska inte inaktiveras för att kringgå certifikatets förfallodatum. Om du inaktiverar Säker start minskar skyddet på enheten avsevärt, skyddar mot skadlig programvara på startnivå och kan skapa nya säkerhets- och efterlevnadsrisker. Den rekommenderade sökvägen är att se till att enheten får de uppdaterade 2023 Secure Boot-certifikaten och alla nödvändiga uppdateringar av OEM-tillverkarens inbyggda programvara.