Windows Güvenli Önyükleme sertifikası süre sonu ve CA güncelleştirmeleri

Güvenli Önyükleme nedir?

Güvenli Önyükleme, Birleştirilmiş Genişletilebilir Bellenim Arabirimi (UEFI) tabanlı üretici yazılımında bir cihazın önyükleme (başlatma) sırasında yalnızca güvenilen yazılımların çalışmasını sağlamaya yardımcı olan bir güvenlik özelliğidir. Cihazın üretici yazılımında depolanan bir dizi güvenilir dijital sertifikaya (sertifika yetkilisi veya CA olarak da bilinir) karşı ön önyükleme yazılımının dijital imzasını doğrulayarak çalışır. Endüstri standardı olarak UEFI Güvenli Önyükleme, platform üretici yazılımının sertifikaları nasıl yönettiğini, üretici yazılımının kimliğini nasıl doğrulayanı ve işletim sisteminin (OS) bu işlemle nasıl arabirim oluşturup oluşturmayışı tanımlar. UEFI ve Güvenli Önyükleme hakkında daha fazla bilgi için bkz. Güvenli önyükleme.

Güvenli Önyükleme, o sırada ortaya çıkan önyükleme öncesi kötü amaçlı yazılımlara (bootkit olarak da bilinir) karşı korunmak için ilk olarak Windows 8 kullanıma sunulmuştur. Platform başlatmanın bir parçası olarak, Güvenli Önyükleme yürütmeden önce üretici yazılımı modüllerinin kimliğini doğrular. Bu modüller UEFI üretici yazılımı sürücülerini (Seçenek ROM'ları gibi), önyükleme yükleyicilerini ve uygulamaları içerir. Güvenli Önyükleme işleminin son adımı olarak üretici yazılımı, Güvenli Önyükleme'nin önyükleme yükleyicisine güvenip güvenmediğini doğrular. Ardından üretici yazılımı, denetimi önyükleme yükleyicisine geçirir ve bu da doğrular, belleğe yüklenir ve Windows işletim sistemini başlatır.

Güvenli Önyükleme, üretim sırasında bir üretici yazılımı ilkesi kümesi aracılığıyla güvenilen kodu tanımlar. Sertifika ekleme veya iptal etme gibi bu ilkedeki değişiklikler bir anahtar hiyerarşisi tarafından denetlenir. Bu hiyerarşi genellikle donanım üreticisinin sahip olduğu Platform Anahtarı (PK) ile başlar ve ardından Bir Microsoft KEK ve diğer OEM SDK'larını içerebilen Anahtar Kayıt Anahtarı (KEK) (Anahtar Değişim Anahtarı olarak da bilinir) izler. İzin Verilen İmza Veritabanı (DB) ve İzin Verilmeyen İmza Veritabanı (DBX), işletim sistemi başlamadan önce UEFI ortamında hangi kodun çalışabileceğini belirler. DB, Microsoft ve OEM tarafından yönetilen sertifikaları içerirken DBX, Microsoft tarafından en son iptallerle güncelleştirilir. KEK içeren herhangi bir varlık DB ve DBX'i güncelleştirebilir.

Windows Güvenli Önyükleme sertifikalarının süresi 2026'da doluyor

Windows Güvenli Önyükleme desteği sağladığından, tüm Windows tabanlı cihazlar KEK ve DB'de aynı Microsoft sertifikalarını taşıdı. Bu özgün sertifikalar son kullanma tarihlerine yaklaşıyor ve cihazınız listelenen sertifika sürümlerinden herhangi birine sahipse bu durumdan etkilenir. Windows'ı çalıştırmaya ve Güvenli Önyükleme yapılandırmanıza yönelik düzenli güncelleştirmeleri almaya devam etmek için bu sertifikaları güncelleştirmeniz gerekir.

Terminoloji

• KEK: Anahtar Kayıt Anahtarı

• CA: Sertifika Yetkilisi

• DB: Güvenli Önyükleme İmzası Veritabanı

• DBX: Güvenli Önyükleme İptal Edilen İmza Veritabanı

Microsoft, Windows cihazlarında Güvenli Önyükleme korumasının sürekliliğini sağlamak için güncelleştirilmiş sertifikalar verdi. Microsoft, bu yeni sertifikalar için güncelleştirme işlemini Windows cihazlarının önemli bir bölümünde yönetecektir. Ayrıca, kendi cihaz güncelleştirmelerini yöneten kuruluşlar için ayrıntılı rehberlik sunacağız.

Önemli 2011 CA'larının süresi dolduğunda, yeni 2023 sertifikası olmayan Windows cihazları artık Windows önyükleme güvenliğini tehlikeye atan önyükleme öncesi bileşenler için güvenlik düzeltmeleri alamaz.

Eylem çağrısı

Sertifikaların süresi 2026'da dolduğunda Windows cihazınızın güvenli kalmasını sağlamak için işlem yapmanız gerekebilir. Hem UEFI Güvenli Önyükleme DB'sinin hem de KEK'nin ilgili yeni 2023 sertifika sürümleriyle güncelleştirilmiş olması gerekir. Yeni sertifikalar hakkında daha fazla bilgi için bkz. Windows Güvenli Önyükleme Anahtarı Oluşturma ve Yönetim Kılavuzu. 

Önemli Güncelleştirmeler olmadan, Güvenli Önyükleme özellikli Windows cihazları güvenlik güncelleştirmelerini almama veya yeni önyükleme yükleyicilerine güvenmeme riskiyle karşı karşıya kalır ve bu da hem hizmet hem de güvenliği tehlikeye atabilir.

Eylemleriniz, sahip olduğunuz Windows cihazının türüne bağlı olarak değişir. Cihaz türü ve yapmanız gereken belirli bir eylem için soldaki menüden öğesini seçin.