Windows Secure Boot certificaten beginnen 24 juni te verlopen

De 2011-era Secure Boot certificaten die de bootbeveiliging op de meeste Windows PC's ondersteunen, beginnen op 24 juni te verlopen, over een maand vanaf vandaag. Apparaten zonder de 2023 vervangende certificaten zullen niet stoppen met werken, maar ze zullen de mogelijkheid verliezen om toekomstige beveiligingspatches op opstartniveau te ontvangen. Windows 11 gebruikers met ondersteunde builds worden automatisch bijgewerkt, hoewel oudere hardware en niet-ondersteunde Windows 10 machines het moeilijker krijgen.

Wat verloopt en wanneer

Drie certificaten bereiken hun einddatum: de Microsoft Corporation KEK CA 2011 op 24 juni, de Microsoft UEFI CA 2011 op 27 juni en de Microsoft Windows Production PCA 2011 op 19 oktober. De laatste ondertekent de Windows bootloader zelf, waardoor oktober de meest kritieke deadline is voor opstartintegriteit op de lange termijn. Microsoft is in januari begonnen met het uitrollen van 2023 vervangingscertificaten via Windows Update en heeft de uitrol met elke maandelijkse update vervroegd, inclusief KB5089549 van deze maand.

Wat gebeurt er na 24 juni?

Uw pc zal niet stoppen met opstarten. Microsoft zegt dat apparaten met verlopen certificaten normaal zullen blijven opstarten en standaard Windows-updates zullen blijven ontvangen. Wat ze verliezen is de mogelijkheid om nieuwe Secure Boot database-updates, lijsten met ingetrokken certificaten en patches voor nieuw ontdekte kwetsbaarheden in de bootlaag te ontvangen. Boot-level exploits zoals BlackLotus hebben zich specifiek op deze laag gericht. Een apparaat met verlopen certificaten heeft geen patchpad tegen toekomstige bedreigingen op firmwareniveau.

Zo controleert u uw apparaat

Open Windows Beveiliging, selecteer Apparaatbeveiliging en controleer de sectie Secure Boot. Microsoft's ondersteuningsartikel KB5062710 beschrijft wat het verlopen van de update betekent en welke stappen u moet ondernemen als de update niet is toegepast. Gebruikers van Windows 10 die niet onder het programma voor uitgebreide beveiligingsupdates vallen, ontvangen de nieuwe certificaten niet en hebben vanaf 24 juni geen herstelpad.

Apparaten die de fix mogelijk niet krijgen

Voor sommige oudere hardware is naast de uitrol van het Windows-certificaat een bijpassende OEM-firmware-update nodig, omdat de nieuwe certificaatketen direct in de UEFI-firmware moet worden verankerd. Apparaten van fabrikanten die zijn gestopt met het uitbrengen van firmware-updates kunnen op de 2011-certificaten blijven staan, ongeacht wat Windows installeert. Microsoft adviseert om de nieuwste update toe te passen, de status te controleren met KB5062710 en contact op te nemen met OEM-ondersteuning als de 2023-certificaten niet worden weergegeven op een volledig bijgewerkt systeem.