Windows Secure Boot-certifikat börjar löpa ut den 24 juni

Secure Boot-certifikaten från 2011 års era, som stöder uppstartssäkerheten på de flesta Windows-datorer, börjar löpa ut den 24 juni, en månad från idag. Enheter utan ersättningscertifikaten från 2023 kommer inte att sluta fungera, men de kommer att förlora förmågan att ta emot framtida säkerhetsuppdateringar på startnivå. Windows 11-användare på stödda builds uppdateras automatiskt, men äldre hårdvara och Windows 10-maskiner som inte stöds står inför en svårare väg.

Vad upphör att gälla och när

Tre certifikat håller på att nå sina slutdatum: Microsoft Corporation KEK CA 2011 den 24 juni, Microsoft UEFI CA 2011 den 27 juni och Microsoft Windows Production PCA 2011 den 19 oktober. Det sista signerar själva Windows bootloader, vilket gör oktober till den mest kritiska tidsfristen för långsiktig bootintegritet. Microsoft började rulla ut 2023 ersättningscertifikat via Windows Update i januari och har avancerat utrullningen med varje månadsuppdatering, inklusive denna månads KB5089549.

Vad händer efter den 24 juni

Din dator kommer inte att sluta starta. Microsoft säger att enheter med utgångna certifikat kommer att fortsätta att starta normalt och få standard Windows-uppdateringar. Vad de förlorar är möjligheten att ta emot nya Secure Boot-databasuppdateringar, listor över återkallade certifikat och korrigeringar för nyupptäckta sårbarheter i startlagret. Exploateringar på bootnivå som BlackLotus har specifikt riktat in sig på detta lager. En enhet med utgångna certifikat har ingen patchväg mot framtida hot på firmware-nivå.

Så här kontrollerar du din enhet

Öppna Windows Security, välj Device Security och kontrollera avsnittet Secure Boot. Microsofts supportartikel KB5062710 beskrivs vad utgångsdatumet innebär och vilka åtgärder som ska vidtas om uppdateringen inte har tillämpats. Användare av Windows 10 utanför programmet för utökade säkerhetsuppdateringar kommer inte att få de nya certifikaten och har ingen åtgärdsväg från och med den 24 juni.

Enheter som kanske inte får fixen

Viss äldre hårdvara kräver en matchande OEM-firmwareuppdatering vid sidan av Windows certifikatutrullning, eftersom den nya certifikatkedjan måste förankras direkt i UEFI-firmware. Enheter från tillverkare som har slutat utfärda firmwareuppdateringar kan förbli på 2011-certifikaten oavsett vad Windows installerar. Microsofts vägledning är att tillämpa den senaste uppdateringen, verifiera status med hjälp av KB5062710 och kontakta OEM-support om 2023-certifikaten inte visas på ett helt uppdaterat system.