- 2011. aastal väljastatud algsed turvalise käivituse sertifikaadid aeguvad 2026. aasta juunis ja need tuleb asendada Windows UEFI CA 2023-ga.
- Windows 11 ja Windows 10 koos ESU-ga saavad värskenduse peamiselt Windows Update'i kaudu, kuigi mõned arvutid vajavad BIOS-i värskendust.
- Ettevõtte keskkondades on see võtmetähtsusega seadmete inventuuriks, registrivõtmete ja 1801/1808 sündmuste ülevaatamiseks ning MicrosoftUpdateManagedOptIn konfigureerimiseks.
- Püsivara värskenduste koordineerimine originaalseadmete tootjatega ja turvalise alglaadimise lubamine tugevdab kaitset pahavara ja alglaadimisrünnakute eest.
Kui kasutate Windows 10 või Windows 11 ja teil on lubatud turvaline alglaadimine (Secure Boot) , mõjutavad teid otseselt sertifikaatide muudatused, mida Microsoft ja arvutitootjad teevad praegusest kuni 2026. aasta juunini. See pole teoreetiline küsimus: me räägime komponendist, mis valideerib teie arvutis töötamise hetkest alates toitenupu vajutamisest ja mille algsed sertifikaadid aeguvad peagi.
Aastaid oleme eeldanud, et süsteem on kaitstud alates käivitamise hetkest, kuid nüüd on aeg kontrollida, kas kõik on turvalise käivituse sertifikaadi uuendamiseks valmis . Microsoft, originaalseadmete tootjad (nagu Acer) ja süsteemiadministraatorid on selle kallal juba tööle hakanud ning on oluline mõista, mis toimub, tegevusetuse tagajärgi ja praktilisi samme, mida saate astuda olenemata sellest, kas olete kodukasutaja või haldate ettevõtte seadmete parki.
Miks turvalise käivituse sertifikaadid aeguvad ja mida see tähendab?
UEFI-põhine turvalise alglaadimise mehhanism tugineb püsivarasse salvestatud digitaalsetele sertifikaatidele, et teha alglaadimise ajal kindlaks, milline kood on usaldusväärne: alglaadurid, püsivara draiverid, kriitilised operatsioonisüsteemi-eelsed komponendid jne. See mudel loodi võtmehierarhia ümber , mis loob usaldusahela püsivarast Windowsini.
Selles hierarhias leiame näiteks platvormivõtme (PK) , mis pärineb tavaliselt originaalseadmete tootjalt (nt Acer), Microsofti ja tootja võtmevahetusvõtmed (KEK) ning kaks olulist andmebaasi: DB (lubatud allkirjad) ja DBX (tühistatud allkirjad). Andmebaas sisaldab usaldusväärseteks peetavaid sertifikaate ja allkirju, samas kui DBX-i värskendatakse elementidega, mis tuleb blokeerida, kuna need on ebaturvalised või on rikutud.
Aceri ja Microsofti ühiselt välja antud esimesed turvalise alglaadimise sertifikaadid pärinevad aastast 2011 ja nende ligikaudne kehtivusaeg on 15 aastat. See tähendab, et nende esialgsete sertifikaatide kehtivusaeg lõpeb 2026. aasta juunis. Kui teie arvuti püsivara tugineb neile endiselt ja seda pole uutele 2023. aasta sertifikaatidele värskendatud, muutub alglaadimiskaitse aegunuks.
Aegunud sertifikaatidega võib arvuti küll Windowsi tavapäraselt käivitada ja käitada, kuid kriitiliseks probleemiks on see, et Microsoft ei saa käivituskeskkonnale uusi leevendusi korralikult rakendada. See hõlmab kaitset enne süsteemi laadiva pahavara, BitLockerist möödahiilimise katsete ja muude algse usaldusahela vastaste rünnakute eest.
Vanemate masinate või süsteemide puhul, mida enam ei toetata (näiteks Windows 10 installid ilma ESU-ta), on oht, et käivituskeskkond töötab, kuid mille rünnakupind suureneb, kuna see ei saa samu turvavärskendusi ega saa ära kasutada tänapäevaseid DBX-i tühistamisi.
Kontekst: Windows 10 toe lõpp, Windows 11 esiletõus ja sõltuvus turvalisest käivitusest
Windows 10 eluea lõppemise teadaanne ajendas miljoneid kasutajaid turvapaikade kaotamise vältimiseks Windows 11-le üle minema. Tänaseks on turuosa selgelt nihkunud Windows 11 poole, umbes 63% võrreldes Windows 10 35%-ga, peamiselt tänu toe lõppemise survele.
Kuigi mõned Windows 10 installid kasutavad endiselt spetsiaalseid kanaleid, näiteks LTSC-d või laiendatud turvavärskenduste (ESU) programme , on tegelikkuses enamik kasutajaid, kes soovivad end hästi kaitsta, Windows 11 või vähemalt Linuxi distributsioonidega koos eksisteerima. See aga ei tähenda, et Windows 11 oleks läbimatu: turvalise alglaadimise sertifikaatide kehtivus mängib nüüd väga otseselt rolli.
Windows 11 puhul pole turvaline alglaadimine luksus, vaid enamiku toetatud stsenaariumide korral installimise nõue . Microsoft nõuab selle lubamist mitte ainult üldise turvalisuse huvides, vaid ka seetõttu, et paljud leevendusmeetmed tuginevad sellele usaldusahelale. Isegi mängumaailmas on üha tavalisem, et tänapäevaste mängude (nagu Battlefieldi sari ja muud AAA-mängud) käivitamiseks on vaja turvalist alglaadimist lubada .
Windows 11 uusim turvavärskenduste partii sisaldab 2026. aasta juunis aeguvate turvalise käivituse sertifikaatide rotatsiooni. Paljud kasutajad saavad need sertifikaadid automaatselt Windows Update'i kaudu, ilma et peaksid faile või pakette käsitsi otsima.
Alates 2024.–2025. aastast ostetud laua- või sülearvutite puhul on originaalseadmete tootjad UEFI CA 2023 sertifikaadid juba otse oma püsivarasse lisanud, seega tulevad need arvutid tehasest valmis kujul ja kõik, mida peate tegema, on Windowsi ajakohasena hoida ja mitte Secure Boot'i asjatult keelata.
Mis juhtub, kui te oma turvalise käivituse sertifikaate ei uuenda?
Väga levinud küsimus on, kas arvuti käivitub pärast aegumiskuupäeva saabumist. Enamiku kasutajate jaoks on vastus see, et arvuti lülitub sisse ja töötab normaalselt. Saate avada rakendusi, sirvida internetti ja kasutada operatsioonisüsteemi täpselt nagu praegu.
Tegelik probleem on peenem: aegunud turvalise alglaadimise sertifikaatidega arvuti ei pruugi enam vastu võtta või õigesti rakendada teatud värskendusi, mis seda uut usaldusahelat vajavad. Mõned olulised alglaadimise taseme turvaparandused ei pruugi olla installitud, mis loob haavatavusi, mida ründajad saavad ära kasutada.
Lisaks on need sertifikaatide uuendused loodud selleks, et lahendada kaasaegseid haavatavusi operatsioonisüsteemi-eelses keskkonnas. Kui sertifikaatide baasi ei värskendata, võib arvutist saada lihtsam sihtmärk alglaadimiskomplektide pahavarale, püsivatele juurkomplektidele või tööriistadele, mis on loodud selliste mehhanismide nagu BitLocker möödahiilimiseks käivitamise väga varajases staadiumis.
Arvesse tuleks võtta ka teist stsenaariumi: mõned rakendused, eriti ettevõtete või kõrge turvalisusega keskkondades, võivad vajada turvalise käivituse toimimist ja ajakohasust . Kui sisemised kontrollid tuvastavad aegunud sertifikaate, võivad need keelduda töötamast või olla piiratud funktsionaalsusega, mis mõjutab tootlikkust.
Seega on Microsofti soovitus selge: hoidke turvaline alglaadimine alati lubatud ja ajakohasena , installige uusimad Windows 11 värskendused või ESU-ga Windows 10 puhul rakendage kõik turvapaigad ja veenduge, et teil oleks iga arvuti jaoks saadaval uusim püsivara/BIOS-i versioon.
Kuidas kontrollida Windowsi turvalise alglaadimise sertifikaatide olekut
Et teada saada, kas teie arvuti on juba uued Secure Boot'i sertifikaadid kasutusele võtnud, saate PowerShelli abil teha kiire kontrolli. Microsoft pakub käsku, mis kontrollib Secure Boot'i allkirjade andmebaasi (db) sisu ja otsib spetsiaalselt Windows UEFI CA 2023 olemasolu.
Kui PowerShell on avatud administraatoriõigustega, saate käivitada midagi sarnast järgmisele:
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
Kui käsk tagastab väärtuse True (tõene) , tähendab see, et arvuti kasutab juba uut 2023. aasta UEFI-sertifikaati ja on kaitstud algsete 2011. aasta sertifikaatide aegumise eest. Sellisel juhul ei pea te muretsema peale tavapäraste Windowsi ja püsivara värskenduste rakendamise jätkamise, kui need kättesaadavaks muutuvad.
Vastupidi, kui avaldis tagastab väärtuse False , tugineb masin endiselt sertifikaatidele, mis aeguvad juunis 2026. Sellisel juhul on soovitatav kõigepealt kontrollida, kas turvaline alglaadimine on BIOS-is/UEFI-s tegelikult lubatud, ja seejärel sundida või hõlbustada vajalike värskenduste saabumist Windows Update'i kaudu või hallatud keskkondades sobiva konfiguratsiooni kaudu.
Turvalise alglaadimise lubamise kinnitamiseks saate süsteemiteabe tööriista abil käsuga msinfo32 . Avanevas aknas kontrollige välja, mis vastab väljale „Turvalise alglaadimise olek”: kui seal on kirjas „Lubatud”, töötab funktsioon; kui seal on kirjas „Keelatud” või „Pole toetatud”, peate selle lubamiseks avama emaplaadi või sülearvuti UEFI-seaded, kui riistvara seda võimaldab.
Kui pärast msinfo32 ja PowerShelli käsu kontrollimist ei näe te ikka veel 2023. aasta sertifikaati, on järgmine loogiline samm Windows Update . Kontrollige ootel värskendusi, eriti neid, mis on liigitatud turva- või püsivaravärskendusteks. Paljudes masinates rakendatakse sertifikaadi uuendamine automaatselt nende pakettide installimise ja taaskäivitamise abil.
Turvalise alglaadimise sertifikaatide käsitsi värskendamine üksikutes arvutites
On juhtumeid, kus hoolimata turvalise käivituse lubamisest ja Windowsi värskenduse töötamisest ei rakendata sertifikaatide andmebaasi värskendust automaatselt. Selliste olukordade jaoks kirjeldab Microsoft viisi, kuidas värskendussignaali edastada Windowsi registri kaudu.
Standardprotseduur hõlmab väärtuse AvailableUpdates loomist või muutmist turvalisele alglaadimisele pühendatud registriharus. PowerShellis administraatoriõigustega saab kasutada järgmist käsku:
reg add HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Oluline on märkida, et selle käsu PowerShelli kleepimisel peate registritee kaldkriipsud "/" asendama Windowsi standardsete tagurpidi kaldkriipsudega , et käsk korrektselt töötaks. Kui see väärtus on loodud või muudetud, peaks Windows tuvastama sertifikaadivärskendused saadaval ja rakendama need pärast järgmist Windowsi värskendustsüklit ning taaskäivitama.
Enne registri muutmist on soovitatav veenduda, et teie süsteem vastab põhinõuetele: BIOS-is on lubatud turvaline alglaadimine (Secure Boot) , Windowsi toetatud versioon (peamiselt Windows 11 või Windows 10 koos ESU-ga) ja Windows Update'i teenus töötab. Registri valed muudatused võivad probleeme tekitada, seega on hea mõte luua varukoopia või süsteemi taastepunkt.
Kui protsess on lõpule viidud ja pärast ühte või mitut taaskäivitamist saate uuesti käivitada PowerShelli käsu, mis otsib turvalise käivituse andmebaasist „Windows UEFI CA 2023”. Kui vastus on seekord tõene, töötab masin nüüd uuendatud sertifikaatidega ja tulevasi käivitusprobleemide leevendamise meetmeid saab probleemideta rakendada.
Täiustatud jälgimine: sündmused, logimine ja WMI administraatoritele
Ettevõttekeskkondades soovitab Microsoft minna käsitsi kinnitamisest kaugemale ja kasutada vaid paari käsku. Selleks, et mõista iga meeskonna seisukohta Secure Boot'i sertifikaatide värskenduste osas , on oluline vaadata üle süsteemisündmused ja koguda üksikasjalikku teavet PowerShelli, registri ja WMI/CIM-päringute abil.
Esimene samm on kontrollida viimaseid turvalise alglaadimise sündmusi , eriti identifikaatoreid 1801 ja 1808. Need sündmused on dokumenteeritud osana turvalise alglaadimise andmebaasi (db) ja tühistamisandmebaasi (DBX) värskendustega seotud logidest. Viimaste sündmuste analüüsimine aitab kindlaks teha, kas on ootel värskendusi, rakenduse vigu või õnnestumisolekuid.
Lisaks on soovitatav teha kogu organisatsiooni seadmete üksikasjalik inventuur . PowerShelli skripte saab kasutada selliste parameetrite kogumiseks nagu masina nimi (HostName, näiteks $env:COMPUTERNAME) ning kogumise kuupäev ja kellaaeg (Get-Date), mis annab selge pildi seadmepargist konkreetsel ajahetkel.
Registrist leiab mitu eriti olulist võtit. Üks neist on peamine turvalise alglaadimise võti, mis asub aadressil HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot , kus saab hinnata selliseid väärtusi nagu SecureBootEnabled, HighConfidenceOptOut ja AvailableUpdates. Need andmed näitavad, kas turvaline alglaadimine on aktiivne, kas seade on valinud teatud usalduspoliitikad ja kas sertifikaatide värskendused on saadaval.
Teisest küljest on olemas hooldusharu aadressil HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing , mis sisaldab parameetreid nagu UEFICA2023Status, WindowsUEFICA2023Capable ja UEFICA2023Error. Need väärtused näitavad, kas seade on võimeline uusi UEFI CA 2023 sertifikaate omaks võtma, kas need on rakendatud ja kas protsessi käigus tekkis vigu.
Kasulik on ka seadme atribuutide jaotis HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes . See jaotis salvestab selliseid andmeid nagu OEMManufacturerName, OEMModelSystemFamily, OEMModelNumber, FirmwareVersion, FirmwareReleaseDate, OSArchitecture ja CanAttemptUpdateAfter. See teave aitab ristviiteid teha püsivara ühilduvuse ja turvalise alglaadimise värskenduste oleku vahel.
Sündmuste logide osas on soovitatav koguda indikaatoreid, näiteks turvalise käivitamisega seotud LatestEventId , BucketID ja sündmustest 1801/1808 eraldatud usaldustase, samuti loendureid Event1801Count ja Event1808Count. Selle telemeetria abil saavad IT-meeskonnad tuvastada mustreid, korduvaid vigu või seadmeid, mille sertifikaatide värskendused ei õnnestu kunagi edukalt lõpule viia.
Lõpuks saadakse WMI/CIM-päringute abil täiendavaid süsteemiandmeid : Windowsi versioon (Get-CimInstance Win32_OperatingSystem OSVersioni ja LastBootTime'i jaoks), emaplaadi tootja ja toode (Get-CimInstance Win32_BaseBoard), arvuti tootja ja mudel (Get-CIMINstance Win32_ComputerSystem).Manufacturer ja .Model) ning BIOS-i andmed (Get-CIMINstance Win32_BIOS kirjelduse ja väljalaskekuupäeva jaoks). Kõik see võimaldab korreleerida püsivara versioone, riistvara ja turvalise alglaadimise olekut ühes inventuuris.
Intune'i hallatavad keskkonnad ja IT-hallatavad seadmed
Organisatsioonide jaoks, kes kasutavad oma Windowsi seadmete haldamiseks Intune'i või muid MDM-lahendusi , on peamine küsimus, kas piisab lihtsalt Windows Update'i töö tegemise lubamisest või tuleb enne 2026. aastat astuda täiendavaid samme. Microsoft on märkinud, et hallatud keskkondades edastatakse vajalikud värskendused automaatselt, kui diagnostikaandmed on lubatud vähemalt tasemel „Nõutav“.
Praktikas tähendab see seda, et kui teie Intune'i poliitikad juba lubavad telemeetriat ja teie värskendusvalikud on õigesti konfigureeritud, võite rahulik olla. Sellegipoolest mõtlevad paljud administraatorid, kas nad peaksid teatud registrivõtmed, näiteks MicrosoftUpdateManagedOptIn, käsitsi looma või konfigureeritakse need automaatselt, kui seade vastab nõuetele.
Microsoft on avaldanud spetsiifilise dokumentatsiooni, mis näitab, et IT-hallatavate värskendustega seadmetes peab MicrosoftUpdateManagedOptIn võti, mis asub kaustas HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot, olema automaatse sertifikaadi uuendamise korrektseks toimimiseks seatud väärtusele 1. Mõnel juhul saab seda võtit automaatselt konfigureerida, kuid teistel juhtudel võib olla vajalik seda poliitikate kaudu jõustada.
Seetõttu on soovitatav üle vaadata diagnostika ja värskendustega seotud Intune'i poliitikad, kontrollida masinate tegelikku olekut inventuuriskriptide abil ja vajadusel juurutada konfiguratsioonipoliitika, mis tagab, et MicrosoftUpdateManagedOptIn on õige väärtusega ja et teenindusharud kajastavad ühilduvust UEFI CA 2023-ga.
Sama oluline on mitte pimesi eeldada, et "2026. aastal pole vaja midagi teha". Kuigi Microsoft automatiseerib suure osa protsessist, on igal organisatsioonil oma ainulaadsed omadused: aegunud püsivaraga seadmed, arvutid, mis ei ühendu regulaarselt, piiravad võrgupoliitikad või edasilükatud värskendustega masinad. Ennetav valideerimisplaan hoiab ära viimase hetke üllatused.
OEM-ide roll ja BIOS-i/püsivara värskendused
Arvuti- ja emaplaaditootjad, näiteks Acer, mängivad selles protsessis olulist rolli. Nemad kontrollivad platvormivõtit (PK) ja mõningaid püsivaras sisalduvaid KEK-e, samuti BIOS-i/UEFI versioone, mis määravad, kuidas Secure Boot DB ja DBX andmebaase laaditakse ja hallatakse.
Aceri sõnul plaanib ettevõte avaldada BIOS-i värskendused spetsiaalselt mõjutatud sülearvutitele ja lauaarvutitele 2026. aasta esimeses kvartalis. Need versioonid sisaldavad PK-d, KEK-i ja DB-d, mis on uuendatud 2023. aasta sertifikaatidega, nii et pärast BIOS-i rakendamist oleks arvuti uue Secure Boot'i usaldusahelaga kooskõlas.
Teised originaalseadmete tootjad (OEM-id) järgivad tõenäoliselt sarnaseid strateegiaid, seega peaksid IT-administraatorid ja edasijõudnud kasutajad pöörama suurt tähelepanu tootjate tugiteenuste märkustele . Paljudel juhtudel hõlmab protsess uue BIOS-i allalaadimist OEM-i veebisaidilt või selle saamist patenteeritud tööriistade (nt automaatsete värskenduste utiliitide) kaudu ja värskenduse rakendamist standardjuhiste järgi.
2024. või 2025. aastal välja antud arvutite puhul on BIOS-iga tavaliselt tehasest kaasas 2023. aasta BIOS-võtmed või saab see värskendus varsti pärast ostmist. Kui ostsite arvuti nendel aastatel, on teil tõenäoliselt juba uuendatud sertifikaadid olemas ; sellegipoolest on PowerShelli kontroll alati hea mõte kinnitamiseks.
Hajutatud infrastruktuuride, andmekeskuste või suurte sülearvutiparkide puhul võib olla vajalik kooskõlastada etapiviisiline püsivara juurutamise plaan originaalseadmete tootjatega (OEM) , vältides kriitiliste BIOS-i värskenduste samaaegset rakendamist kõigile seadmetele ilma eelneva testimiseta. See on integreeritud krüptograafilisse ja püsivara elutsükli haldusse, mida paljud ettevõtted juba rakendavad.
Küberturvalisuse parimad tavad turvalise alglaadimise kohta
Turvalise alglaadimise sertifikaatide uuendamine ei ole eraldiseisev sündmus, vaid pigem osa organisatsiooni krüptograafilise elutsükli haldamisest . Võtmete ja sertifikaatide rotatsioonide planeerimine, keskkonnas tegelikult kasutatava auditeerimine ning püsivara ja TPM-i terviklikkuse kontrolli haldamine vähendab tõenäosust, et keegi saab süsteemi alglaadimise ajal manipuleerida.
Sellega seoses on soovitatav kombineerida käivituskontrolle teiste kaitsekihtidega: ketta krüptimine BitLockeri abil , tuvastus- ja reageerimissüsteemid (EDR/XDR), püsivara ja konfiguratsioonimuudatuste jälgimine ning Windowsi turbepoliitikate ja riistvara regulaarne ülevaatamine. Kõik see aitab vältida ühe kihi rikke ohtu seadmist kogu süsteemile.
Küberturvalisusele ja penetratsioonitestidele spetsialiseerunud ettevõtted saavad lisaväärtust pakkuda, tehes alglaadimisahela hindamisi , simuleerides rünnakuid püsivara, UEFI ja turvalise alglaadimise enda vastu ning kontrollides, kas kaitsemehhanismid toimivad ootuspäraselt. Need teenused sisaldavad sageli ka soovitusi värskenduste automatiseerimiseks ja korraldamiseks.
Organisatsioonides, kus on hajutatud infrastruktuur, võib pilveteenuste (nt Azure või AWS) kasutamine jaotuskanalite seadistamiseks ja tsentraliseeritud värskenduste haldamiseks lihtsustada paranduste, sertifikaatide ja püsivara haldamist. Lisaks aitab Power BI ja telemeetriaanalüütika armatuurlaudade kasutamine prioriseerida, millised seadmed vajavad kiiret tähelepanu.
Tehisintellekti tööriistade ja anomaaliate tuvastamise kasutamine, mis keskendub käivitussündmustele ja püsivara käitumisele, on muutumas üha tavalisemaks. Need süsteemid suudavad tuvastada ebatavalisi mustreid turvalise käivituse logides, anomaalseid taaskäivitusi või UEFI konfiguratsioonide muudatusi, mis võivad viidata rünnakukatsele või valele konfiguratsioonile.
Operatiivsel tasandil on mõned põhisoovitused järgmised: Windowsi värskenduste ja turbeolekute perioodiline kontrollimine Windowsi turbekeskuses, ametliku püsivara taotlemine tootjatelt masinatele, mis ei värskenda automaatselt, värskenduste testimine laborites enne massilist juurutamist ning ajakohaste varude ja hästi konfigureeritud paigaldise haldussüsteemide haldamine.
Nende tavade kombineerimine turvalise käivituse sertifikaatide nõuetekohase uuendamisega aitab säilitada tugevat turvapositsiooni, vähendades riskiaknaid ja hõlbustades tulevasi auditeid, nii sisemisi kui ka väliseid.
Lühidalt öeldes muudab turvalise alglaadimise sertifikaatide aegumine 2026. aasta juunis oluliseks üle vaadata, kuidas meie süsteemid on nii kodus kui ka suurtes organisatsioonides konfigureeritud ja värskendatud: turvalise alglaadimise aktiivsuse tagamine , Windowsi UEFI CA 2023 olemasolu kinnitamine PowerShellis, registrivõtmete ja sündmuste valideerimine, originaalseadmete tootjatega koostöö tegemine uusima püsivara rakendamiseks ning Intune'i, WSUS-i, SCCM-i või MDM-lahenduste võimaluste kasutamine juurutuste automatiseerimiseks teeb kõik vahet, kas keskkond on kaitstud tänapäevaste alglaadimisohtude eest või keskkond, mis, kuigi pealtnäha normaalne, kogub endas vaikseid riske, mida on esmapilgul raske tuvastada.