Завершення терміну дії сертифіката безпечного завантаження Windows і оновлення центру сертифікації Windows

Що таке безпечне завантаження?

Безпечне завантаження – це функція безпеки в мікропрограмі на основі інтерфейсу UEFI, яка забезпечує запуск лише надійного програмного забезпечення під час послідовності завантаження (запуску) пристрою. Він працює, перевіряючи цифровий підпис програмного забезпечення перед завантаженням на наявність набору надійних цифрових сертифікатів (також відомих як центр сертифікації або центр сертифікації), що зберігаються в мікропрограмі пристрою. Як галузевий стандарт, UEFI Secure Boot визначає, як мікропрограма платформи керує сертифікатами, автентифікує мікропрограму та як інтерфейси операційної системи (ОС) з цим процесом. Докладні відомості про UEFI та безпечне завантаження див. в статті Безпечне завантаження.

Безпечне завантаження було вперше представлено в Windows 8 для захисту від нових зловмисних програм перед завантаженням (також відомих як загроза буткіту) на той час. У рамках ініціалізації платформи secure Boot автентифікує модулі мікропрограми перед виконанням. До цих модулів належать драйвери мікропрограм UEFI (наприклад, Option ROMs), завантажувачі та програми. На останньому кроці процесу безпечного завантаження мікропрограма перевіряє, чи надійне завантаження надійне. Потім мікропрограма передає керування завантажувачу, який, у свою чергу, перевіряє, завантажується в пам'ять і запускає ОС Windows.

Безпечне завантаження визначає надійний код за допомогою політики мікропрограми, встановленої під час виробництва. Зміни в цій політиці, наприклад додавання або відкликання сертифікатів, контролюються ієрархією ключів. Ця ієрархія починається з ключа платформи (PK), який зазвичай належить виробнику обладнання, а потім ключом реєстрації ключа (KEK) (також відомий як ключ ключа Exchange), який може включати кек Microsoft та інші кекси OEM. База даних дозволених підписів (DB) і заборонена база даних підписів (DBX) визначають, який код можна запустити в середовищі UEFI перед запуском ОС. База даних містить сертифікати, якими керують корпорація Майкрософт і виробник оригінального обладнання, а DBX оновлюється корпорацією Майкрософт із останніми відкликаннями. Будь-яка сутність із KEK може оновити бази даних і DBX.

Термін дії сертифікатів безпечного завантаження Windows завершується у 2026 р.

Оскільки Windows представила підтримку безпечного завантаження, усі пристрої на основі Windows несли однаковий набір сертифікатів Microsoft у KEK і DB. Ці оригінальні сертифікати наблизяться до дати завершення терміну дії, і ваш пристрій впливає, якщо він має будь-яку з перелічених версій сертифіката. Щоб продовжити роботу Windows і отримувати регулярні оновлення для конфігурації безпечного завантаження, потрібно оновити ці сертифікати.

Термінологія

• КЕК: Ключ реєстрації ключа

• Ca: Центр сертифікації

• ДБ: База даних підписів безпечного завантаження

• DBX: Захищене завантаження відкликаної бази даних підписів

Корпорація Майкрософт видала оновлені сертифікати для забезпечення безперервної роботи захисту від безпечного завантаження на пристроях Windows. Корпорація Майкрософт керуватиме процесом оновлення цих нових сертифікатів на значній частині пристроїв Windows. Крім того, ми пропонуватимемо докладні вказівки для організацій, які керують власними оновленнями пристроїв.

Увага! Коли завершиться термін дії CAs 2011, пристрої Windows, які не мають нових сертифікатів 2023, більше не можуть отримувати виправлення системи безпеки для компонентів попереднього завантаження, що компрометує безпеку завантаження Windows.

Заклик до дії

Можливо, знадобиться вжити заходів, щоб гарантувати безпеку пристрою Windows після завершення терміну дії сертифікатів у 2026 році. Потрібно оновити бази даних безпечного завантаження UEFI та KEK відповідними новими версіями сертифікатів 2023 року. Докладні відомості про нові сертифікати див. в статті Створення ключа завантаження Windows і Керування ними. 

Увага! Без оновлень пристрої Windows із підтримкою безпечного завантаження ризикують не отримувати оновлення системи безпеки або довіряти новим завантажувачам, що поставить під загрозу як справність, так і безпеку.

Дії залежать від типу пристрою Windows. Виберіть із меню ліворуч тип пристрою та певні дії, які потрібно виконати.