- Oryginalne certyfikaty Secure Boot wydane w 2011 r. tracą ważność w czerwcu 2026 r. i muszą zostać zastąpione przez urząd certyfikacji Windows UEFI CA z 2023 r.
- Systemy Windows 11 i Windows 10 z ESU otrzymują aktualizację głównie za pośrednictwem usługi Windows Update, jednak niektóre komputery wymagają aktualizacji systemu BIOS.
- W środowiskach korporacyjnych kluczowe jest inwentaryzowanie urządzeń, przeglądanie kluczy rejestru i zdarzeń 1801/1808 oraz konfigurowanie funkcji MicrosoftUpdateManagedOptIn.
- Koordynacja aktualizacji oprogramowania sprzętowego z producentami OEM i włączenie funkcji Secure Boot wzmacnia ochronę przed złośliwym oprogramowaniem i atakami rozruchowymi.
Jeśli używasz systemu Windows 10 lub Windows 11 i masz włączoną funkcję Bezpiecznego rozruchu , zmiany w certyfikatach, które firma Microsoft i producenci komputerów wprowadzą do czerwca 2026 r., będą miały na Ciebie bezpośredni wpływ. Nie jest to problem teoretyczny: mówimy o komponencie, który weryfikuje, co można uruchomić na Twoim komputerze od momentu naciśnięcia przycisku zasilania i którego oryginalne certyfikaty wkrótce wygasną.
Przez lata zakładaliśmy, że system jest chroniony od momentu uruchomienia, ale teraz nadszedł czas, aby sprawdzić, czy wszystko jest gotowe do odnowienia certyfikatu Secure Boot . Microsoft, producenci OEM (np. Acer) i administratorzy systemów już nad tym pracują, dlatego ważne jest, aby zrozumieć, co się dzieje, jakie są konsekwencje braku działania oraz jakie praktyczne kroki można podjąć, niezależnie od tego, czy jesteś użytkownikiem domowym, czy zarządzasz flotą urządzeń w firmie.
Dlaczego certyfikaty Secure Boot wygasają i co to oznacza?
Mechanizm Secure Boot oparty na UEFI opiera się na certyfikatach cyfrowych przechowywanych w oprogramowaniu sprzętowym, które określają, który kod jest godny zaufania podczas rozruchu: programy ładujące, sterowniki oprogramowania sprzętowego, krytyczne komponenty systemu operacyjnego itp. Model ten został zaprojektowany wokół hierarchii kluczy , która ustanawia łańcuch zaufania od oprogramowania sprzętowego do systemu Windows.
W tej hierarchii znajdziemy na przykład klucz platformy (PK) , zazwyczaj pochodzący od producenta OEM (takiego jak Acer), klucze wymiany kluczy (KEK) od Microsoftu i producenta oraz dwie niezbędne bazy danych: DB (dozwolone podpisy) i DBX (odwołane podpisy). DB zawiera certyfikaty i podpisy uznawane za wiarygodne, podczas gdy DBX jest aktualizowany o elementy, które muszą zostać zablokowane, ponieważ są niebezpieczne lub zostały naruszone.
Pierwsze certyfikaty Secure Boot wydane wspólnie przez firmy Acer i Microsoft pochodzą z 2011 roku i zostały zaprojektowane z przybliżonym okresem ważności wynoszącym 15 lat. Oznacza to, że te pierwotne certyfikaty wygasną w czerwcu 2026 roku. Jeśli oprogramowanie układowe komputera nadal z nich korzysta i nie zostało zaktualizowane do nowych certyfikatów z 2023 roku, ochrona rozruchu stanie się przestarzała.
Z wygasłymi certyfikatami komputer nadal może się normalnie uruchomić i uruchomić system Windows, ale kluczowym problemem jest to, że Microsoft nie będzie w stanie prawidłowo zastosować nowych zabezpieczeń w środowisku rozruchowym. Obejmuje to ochronę przed złośliwym oprogramowaniem, które ładuje się przed systemem, próbami obejścia funkcji BitLocker i innymi atakami na początkowy łańcuch zaufania.
W przypadku starszych maszyn lub systemów, które nie są już obsługiwane (np. instalacje systemu Windows 10 bez ESU), istnieje ryzyko, że środowisko rozruchowe będzie działać, ale jego powierzchnia ataku będzie większa, ponieważ nie otrzyma tych samych aktualizacji zabezpieczeń lub nie będzie mogło wykorzystać nowoczesnych odwołań DBX.
Kontekst: koniec wsparcia dla systemu Windows 10, wzrost popularności systemu Windows 11 i zależność od bezpiecznego rozruchu
Ogłoszenie o końcu wsparcia technicznego systemu Windows 10 skłoniło miliony użytkowników do aktualizacji do systemu Windows 11, aby uniknąć utraty poprawek zabezpieczeń. Obecnie udział w rynku wyraźnie przesunął się w stronę systemu Windows 11 – około 63% w porównaniu z 35% dla systemu Windows 10, głównie z powodu presji związanej z zakończeniem wsparcia.
Chociaż niektóre instalacje systemu Windows 10 nadal korzystają ze specjalnych kanałów, takich jak LTSC czy programy Extended Security Updates (ESU) , w rzeczywistości większość użytkowników będzie musiała współistnieć z systemem Windows 11 lub, co najmniej, z dystrybucjami Linuksa, jeśli chce zachować wysoki poziom bezpieczeństwa. Nie oznacza to jednak, że system Windows 11 jest nieprzenikniony: ważność certyfikatów Secure Boot odgrywa teraz bardzo istotną rolę.
W przypadku systemu Windows 11 funkcja Secure Boot nie jest luksusem, lecz wymogiem instalacji w większości obsługiwanych scenariuszy. Microsoft nalega na jej włączenie nie tylko ze względów bezpieczeństwa, ale także dlatego, że wiele mechanizmów zabezpieczających opiera się na tym łańcuchu zaufania. Nawet w świecie gier coraz częściej zdarza się, że nowoczesne tytuły (takie jak seria Battlefield i inne gry AAA) wymagają włączenia funkcji Secure Boot do uruchomienia.
Najnowsza partia aktualizacji zabezpieczeń dla systemu Windows 11 obejmuje rotację certyfikatów bezpiecznego rozruchu , które wygasają w czerwcu 2026 r. Wielu użytkowników otrzyma te certyfikaty automatycznie za pośrednictwem usługi Windows Update, bez konieczności ręcznego wyszukiwania plików lub pakietów.
W przypadku komputerów stacjonarnych i laptopów zakupionych w latach 2024–2025 producenci OEM włączyli certyfikaty UEFI CA 2023 bezpośrednio do oprogramowania sprzętowego. Dzięki temu komputery te są fabrycznie przygotowane, a użytkownik musi jedynie aktualizować system Windows i nie wyłączać funkcji Secure Boot bez potrzeby.
Co się stanie, jeśli nie odnowisz certyfikatów Secure Boot?
Bardzo często pojawia się pytanie, czy komputer przestanie się uruchamiać po upływie terminu ważności. Odpowiedź dla większości użytkowników brzmi: komputer będzie się nadal uruchamiał i działał normalnie. Będziesz mógł otwierać aplikacje, przeglądać internet i korzystać z systemu operacyjnego tak jak dotychczas.
Prawdziwy problem jest bardziej subtelny: komputer z wygasłymi certyfikatami Secure Boot może przestać otrzymywać lub poprawnie instalować niektóre aktualizacje wymagające tego nowego łańcucha zaufania. Niektóre krytyczne ulepszenia zabezpieczeń na poziomie rozruchu mogą nie zostać zainstalowane, co stwarza luki w zabezpieczeniach, które mogą zostać wykorzystane przez atakujących.
Co więcej, te odnowienia certyfikatów mają na celu wyeliminowanie współczesnych luk w zabezpieczeniach w środowisku poprzedzającym system operacyjny. Jeśli baza certyfikatów nie zostanie zaktualizowana, komputer może stać się łatwiejszym celem dla złośliwego oprogramowania typu bootkit, uporczywych rootkitów lub narzędzi zaprojektowanych do omijania mechanizmów takich jak BitLocker na bardzo wczesnym etapie rozruchu.
Należy rozważyć inny scenariusz: niektóre aplikacje, zwłaszcza w środowiskach korporacyjnych lub o wysokim poziomie bezpieczeństwa, mogą wymagać funkcji Secure Boot do działania i aktualizacji . Jeśli wewnętrzne kontrole wykryją wygasłe certyfikaty, mogą one nie zostać uruchomione lub ich funkcjonalność może być ograniczona, co wpłynie na wydajność.
Dlatego też zalecenia firmy Microsoft są jasne: zawsze należy włączać i aktualizować funkcję Secure Boot , instalować najnowsze aktualizacje systemu Windows 11 lub, w przypadku systemu Windows 10 z ESU, stosować wszystkie poprawki zabezpieczeń i dbać o to, aby dla każdego komputera dostępna była najnowsza wersja oprogramowania sprzętowego/BIOS-u.
Jak sprawdzić status certyfikatów bezpiecznego rozruchu w systemie Windows
Aby sprawdzić, czy Twój komputer przyjął już nowe certyfikaty Secure Boot , możesz wykonać szybkie sprawdzenie za pomocą programu PowerShell. Firma Microsoft oferuje polecenie, które sprawdza zawartość bazy danych sygnatur Secure Boot (db) i w szczególności sprawdza obecność urzędu certyfikacji UEFI CA 2023 systemu Windows.
Po otwarciu programu PowerShell z uprawnieniami administratora możesz uruchomić coś równoważnego:
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
Jeśli polecenie zwróci wartość True , oznacza to, że komputer korzysta już z nowego certyfikatu UEFI z 2023 r. i jest chroniony przed wygaśnięciem oryginalnych certyfikatów z 2011 r. W takim przypadku nie musisz się martwić o nic więcej poza kontynuowaniem instalowania standardowych aktualizacji systemu Windows i oprogramowania sprzętowego, gdy tylko staną się dostępne.
Odwrotnie, jeśli wyrażenie zwróci False , komputer nadal będzie korzystał z certyfikatów, które wygasną w czerwcu 2026 r. W takim scenariuszu zaleca się najpierw sprawdzić, czy funkcja Secure Boot jest faktycznie włączona w systemie BIOS/UEFI, a następnie wymusić lub ułatwić dostarczenie niezbędnych aktualizacji za pośrednictwem usługi Windows Update lub poprzez odpowiednią konfigurację w środowiskach zarządzanych.
Aby sprawdzić, czy funkcja Bezpieczny rozruch jest włączona, można użyć narzędzia Informacje o systemie z poleceniem msinfo32 . W otwartym oknie należy sprawdzić pole odpowiadające opcji „Status Bezpiecznego rozruchu”: jeśli jest ono oznaczone jako „Włączone”, funkcja działa; jeśli jest oznaczone jako „Wyłączone” lub „Nieobsługiwane”, należy uzyskać dostęp do ustawień UEFI płyty głównej lub laptopa, aby ją włączyć, o ile sprzęt na to pozwala.
Jeśli po sprawdzeniu pliku msinfo32 i polecenia programu PowerShell nadal nie widzisz certyfikatu 2023, kolejnym logicznym krokiem jest skorzystanie z usługi Windows Update . Sprawdź, czy są dostępne oczekujące aktualizacje, zwłaszcza te klasyfikowane jako aktualizacje zabezpieczeń lub oprogramowania układowego. Na wielu komputerach samo zainstalowanie tych pakietów i ponowne uruchomienie automatycznie zatwierdzi odnowienie certyfikatu.
Ręczna aktualizacja certyfikatów Secure Boot na poszczególnych komputerach
Zdarzają się przypadki, gdy pomimo włączonego Bezpiecznego rozruchu i uruchomionej usługi Windows Update, aktualizacja bazy certyfikatów nie jest stosowana automatycznie. W takich sytuacjach firma Microsoft opisuje sposób wymuszenia sygnalizacji aktualizacji za pośrednictwem rejestru systemu Windows.
Standardowa procedura obejmuje utworzenie lub modyfikację wartości AvailableUpdates w gałęzi rejestru dedykowanej funkcji Secure Boot. W programie PowerShell z uprawnieniami administratora można użyć polecenia podobnego do poniższego:
reg add HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Należy pamiętać, że wklejając to polecenie do programu PowerShell, należy zastąpić ukośniki „/” w ścieżce rejestru standardowymi ukośnikami odwrotnymi systemu Windows , aby polecenie działało poprawnie. Po utworzeniu lub zmianie tej wartości system Windows powinien wykryć dostępność aktualizacji certyfikatów i zastosować je po kolejnym cyklu aktualizacji systemu Windows oraz ponownym uruchomieniu.
Przed modyfikacją Rejestru zaleca się upewnienie się, że system spełnia podstawowe wymagania: funkcja Bezpieczny rozruch włączona w BIOS-ie, obsługiwana wersja systemu Windows (głównie Windows 11 lub Windows 10 z ESU) oraz usługa Windows Update działająca. Wszelkie nieprawidłowe zmiany w Rejestrze mogą powodować problemy, dlatego warto mieć kopię zapasową lub punkt przywracania systemu.
Po zakończeniu procesu i co najmniej jednym ponownym uruchomieniu, można ponownie uruchomić polecenie programu PowerShell, które wyszukuje „Windows UEFI CA 2023” w bazie danych Secure Boot. Jeśli tym razem odpowiedź brzmi „Prawda”, komputer działa teraz z odnowionymi certyfikatami , a przyszłe zabezpieczenia rozruchu można zastosować bez problemu.
Zaawansowane monitorowanie: zdarzenia, rejestrowanie i WMI dla administratorów
W środowiskach korporacyjnych Microsoft zaleca wyjście daleko poza ręczną weryfikację za pomocą kilku poleceń. Aby zrozumieć stanowisko każdego zespołu w kwestii aktualizacji certyfikatów Secure Boot , kluczowe jest przeanalizowanie zdarzeń systemowych i zebranie szczegółowych informacji za pomocą programu PowerShell, rejestru oraz zapytań WMI/CIM.
Pierwszym krokiem jest sprawdzenie najnowszych zdarzeń Secure Boot , zwłaszcza identyfikatorów 1801 i 1808. Zdarzenia te są dokumentowane w dziennikach powiązanych z aktualizacjami bazy danych Secure Boot (db) i bazy odwołań (DBX). Analiza najnowszych zdarzeń pomaga ustalić, czy występują oczekujące aktualizacje, błędy aplikacji lub stany pomyślnego uruchomienia.
Dodatkowo zaleca się przeprowadzenie szczegółowej inwentaryzacji urządzeń w całej organizacji. Skrypty programu PowerShell można wykorzystać do zebrania parametrów, takich jak nazwa maszyny (HostName, na przykład $env:COMPUTERNAME) oraz data i godzina pobrania (Get-Date), co zapewnia przejrzysty obraz stanu floty urządzeń w określonym momencie.
W Rejestrze znajduje się kilka szczególnie istotnych kluczy. Jednym z nich jest główny klucz Secure Boot, zlokalizowany w HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot , gdzie można sprawdzić wartości takie jak SecureBootEnabled, HighConfidenceOptOut i AvailableUpdates. Dane te wskazują, czy Secure Boot jest aktywny, czy urządzenie włączyło określone zasady zaufania oraz czy dostępne są aktualizacje certyfikatów.
Z drugiej strony, w kluczu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing znajduje się gałąź konserwacyjna , która zawiera parametry takie jak UEFICA2023Status, WindowsUEFICA2023Capable i UEFICA2023Error. Wartości te wskazują, czy urządzenie jest w stanie przyjąć nowe certyfikaty UEFI CA 2023, czy je zastosowało i czy podczas procesu wystąpiły jakieś błędy.
Sekcja atrybutów urządzenia, HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes , jest również przydatna. W tej sekcji przechowywane są dane takie jak OEMManufacturerName, OEMModelSystemFamily, OEMModelNumber, FirmwareVersion, FirmwareReleaseDate, OSArchitecture i CanAttemptUpdateAfter. Informacje te pomagają w porównaniu zgodności oprogramowania układowego ze stanem aktualizacji Secure Boot.
W przypadku dzienników zdarzeń zaleca się gromadzenie wskaźników, takich jak LatestEventId powiązany z Secure Boot, BucketID i poziom zaufania wyodrębniony ze zdarzeń 1801/1808, a także liczniki Event1801Count i Event1808Count. Dzięki tym danym telemetrycznym zespoły IT mogą wykrywać wzorce, powtarzające się błędy lub urządzenia, które nigdy nie pomyślnie zakończyły aktualizację certyfikatów.
Na koniec, za pomocą zapytań WMI/CIM uzyskuje się dodatkowe szczegóły systemowe : wersję systemu Windows (Get-CimInstance Win32_OperatingSystem dla OSVersion i LastBootTime), producenta i produktu płyty głównej (Get-CimInstance Win32_BaseBoard), producenta i modelu komputera (Get-CIMInstance Win32_ComputerSystem).Manufacturer i .Model) oraz dane BIOS-u (Get-CIMInstance Win32_BIOS dla opisu i daty wydania). Wszystko to pozwala na korelację wersji oprogramowania sprzętowego, sprzętu i statusu Secure Boot w ramach jednego inwentarza.
Środowiska zarządzane przez Intune i urządzenia zarządzane przez dział IT
Dla organizacji, które korzystają z usługi Intune lub innych rozwiązań MDM do zarządzania urządzeniami z systemem Windows, kluczowym pytaniem jest, czy wystarczy po prostu pozwolić usłudze Windows Update wykonać swoją pracę, czy też konieczne będzie podjęcie dodatkowych kroków do 2026 roku. Firma Microsoft wskazała, że w środowiskach zarządzanych niezbędne aktualizacje będą dostarczane automatycznie, o ile dane diagnostyczne są włączone co najmniej na poziomie „Wymagane”.
W praktyce oznacza to, że jeśli zasady usługi Intune zezwalają już na telemetrię, a opcje aktualizacji są poprawnie skonfigurowane, możesz spać spokojnie. Mimo to wielu administratorów zastanawia się, czy powinni ręcznie utworzyć pewne klucze rejestru, takie jak MicrosoftUpdateManagedOptIn, czy też zostaną one skonfigurowane automatycznie, gdy urządzenie spełni wymagania.
Firma Microsoft opublikowała szczegółową dokumentację wskazującą, że klucz MicrosoftUpdateManagedOptIn , znajdujący się w kluczu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot, musi być ustawiony na 1 na urządzeniach z aktualizacjami zarządzanymi przez dział IT, aby automatyczne odnawianie certyfikatów działało prawidłowo. W niektórych przypadkach klucz ten można skonfigurować automatycznie, ale w innych może być konieczne jego wymuszenie za pomocą zasad.
W związku z tym zaleca się przejrzenie zasad usługi Intune związanych z diagnostyką i aktualizacjami, sprawdzenie rzeczywistego stanu maszyn za pomocą skryptów inwentaryzacyjnych i w razie potrzeby wdrożenie zasad konfiguracji , które zagwarantują, że wartość parametru MicrosoftUpdateManagedOptIn będzie odpowiednia, a gałęzie serwisowe będą odzwierciedlać zgodność z urzędem certyfikacji UEFI CA 2023.
Równie ważne jest, aby nie zakładać bezkrytycznie, że „nic nie będzie trzeba robić w 2026 roku”. Chociaż Microsoft automatyzuje znaczną część procesu, każda organizacja ma swoją unikalną charakterystykę: urządzenia z przestarzałym oprogramowaniem układowym, komputery, które nie łączą się regularnie, restrykcyjne zasady sieciowe lub maszyny z odroczonymi aktualizacjami. Proaktywny plan walidacji zapobiega niespodziankom w ostatniej chwili.
Rola producentów OEM i aktualizacji BIOS-u/oprogramowania sprzętowego
Producenci komputerów i płyt głównych, tacy jak Acer, odgrywają kluczową rolę w całym tym procesie. Kontrolują oni klucz platformy (PK) i niektóre klucze KEK znajdujące się w oprogramowaniu sprzętowym, a także wersje BIOS-u/UEFI, które określają sposób ładowania i zarządzania bazami danych Secure Boot DB i DBX.
Według Acera firma planuje udostępnić aktualizacje BIOS-u przeznaczone specjalnie dla laptopów i komputerów stacjonarnych, których dotyczy problem, w pierwszym kwartale 2026 roku. Wersje te obejmują PK, KEK i DB zaktualizowane zgodnie z certyfikatami z 2023 roku, dzięki czemu po zainstalowaniu BIOS-u komputer będzie zgodny z nowym łańcuchem zaufania Secure Boot.
Inni producenci OEM prawdopodobnie zastosują podobne strategie, dlatego administratorzy IT i zaawansowani użytkownicy powinni uważnie śledzić informacje o pomocy technicznej producenta . W wielu przypadkach proces będzie polegał na pobraniu nowego BIOS-u ze strony internetowej producenta OEM lub otrzymaniu go za pośrednictwem zastrzeżonych narzędzi (takich jak narzędzia do automatycznej aktualizacji) i zainstalowaniu aktualizacji zgodnie ze standardowymi instrukcjami.
W przypadku komputerów wydanych w 2024 lub 2025 roku BIOS zazwyczaj zawiera klucze BIOS z 2023 roku lub otrzymuje aktualizację wkrótce po zakupie. Jeśli komputer został zakupiony w tych latach, prawdopodobnie posiadasz już zaktualizowane certyfikaty ; mimo to, sprawdzenie w programie PowerShell jest zawsze dobrym pomysłem.
W przypadku rozproszonych infrastruktur, centrów danych lub dużych flot laptopów, konieczne może być skoordynowanie planu fazowego wdrażania oprogramowania sprzętowego z producentami OEM , co pozwoli uniknąć jednoczesnego wprowadzania krytycznych aktualizacji BIOS-u do wszystkich urządzeń bez wcześniejszego testowania. Jest to zintegrowane z zarządzaniem cyklem życia oprogramowania sprzętowego i kryptograficznego, które wiele firm już wdraża.
Najlepsze praktyki cyberbezpieczeństwa w zakresie bezpiecznego rozruchu
Odnawianie certyfikatów Secure Boot nie jest odosobnionym zdarzeniem, lecz elementem zarządzania cyklem życia zasobów kryptograficznych w organizacji . Planowanie rotacji kluczy i certyfikatów, audyt faktycznego wykorzystania w środowisku oraz utrzymywanie kontroli integralności oprogramowania sprzętowego i modułu TPM zmniejszają prawdopodobieństwo ingerencji w system na początkowych etapach rozruchu.
W tym kontekście wskazane jest połączenie kontroli rozruchu z innymi warstwami ochrony: szyfrowaniem dysku za pomocą BitLockera , systemami wykrywania i reagowania (EDR/XDR), monitorowaniem oprogramowania sprzętowego i zmian w konfiguracji oraz regularnymi przeglądami zasad bezpieczeństwa systemu Windows i sprzętu. Wszystko to pomaga zapobiec zagrożeniu całego systemu przez pojedynczą awarię w jednej warstwie.
Firmy specjalizujące się w cyberbezpieczeństwie i testach penetracyjnych mogą wnieść wartość dodaną, przeprowadzając ocenę łańcucha rozruchowego , symulując ataki na oprogramowanie układowe, UEFI i sam Secure Boot oraz weryfikując, czy mechanizmy obronne działają zgodnie z oczekiwaniami. Usługi te często obejmują również rekomendacje dotyczące automatyzacji i koordynacji aktualizacji.
W organizacjach o silnie rozproszonej infrastrukturze wykorzystanie usług chmurowych, takich jak Azure lub AWS, do skonfigurowania kanałów dystrybucji i scentralizowanego zarządzania aktualizacjami może uprościć kontrolę nad poprawkami, certyfikatami i oprogramowaniem sprzętowym. Co więcej, korzystanie z pulpitów nawigacyjnych w usłudze Power BI i analiz telemetrycznych pomaga określić priorytety urządzeń wymagających pilnej uwagi.
Coraz powszechniejsze staje się wykorzystywanie narzędzi sztucznej inteligencji i detekcji anomalii, koncentrujących się na zdarzeniach rozruchowych i zachowaniu oprogramowania sprzętowego. Systemy te potrafią wykrywać nietypowe wzorce w logach Secure Boot, nietypowe restarty lub modyfikacje konfiguracji UEFI, które mogą wskazywać na próbę ataku lub błędną konfigurację.
Na poziomie operacyjnym podstawowe zalecenia obejmują: okresowe sprawdzanie stanu usługi Windows Update i zabezpieczeń w Centrum zabezpieczeń systemu Windows, żądanie od producentów oficjalnego oprogramowania sprzętowego dla komputerów, które nie aktualizują się automatycznie, testowanie aktualizacji w laboratoriach przed masowym wdrożeniem oraz utrzymywanie aktualnych inwentarzy i dobrze skonfigurowanych systemów zarządzania poprawkami.
Połączenie tych praktyk z prawidłowym odnawianiem certyfikatów Secure Boot pomaga utrzymać wysoki poziom bezpieczeństwa, zmniejszając liczbę okien narażenia na ataki i ułatwiając przyszłe audyty, zarówno wewnętrzne, jak i zewnętrzne.
Krótko mówiąc, wygaśnięcie certyfikatów Secure Boot w czerwcu 2026 r. sprawia, że konieczne jest przejrzenie konfiguracji i aktualizacji systemów, zarówno w domu, jak i w dużych organizacjach. Należy upewnić się, że Secure Boot jest aktywny , potwierdzić obecność urzędu certyfikacji UEFI 2023 systemu Windows z poziomu programu PowerShell, sprawdzić poprawność kluczy rejestru i zdarzeń, współpracować z producentami OEM w celu zastosowania najnowszego oprogramowania sprzętowego oraz wykorzystać możliwości rozwiązań Intune, WSUS, SCCM lub MDM w celu automatyzacji wdrożeń. To decyduje o tym, czy środowisko będzie chronione przed nowoczesnymi zagrożeniami związanymi z rozruchem, czy też takie, które, choć pozornie normalne, gromadzi ukryte zagrożenia trudne do wykrycia na pierwszy rzut oka.