Secure Boot — это механизм безопасности на уровне прошивки, встроенный в UEFI. Его задача — предотвращать запуск вредоносного кода на этапе загрузки системы. Secure Boot выступает «фильтром доверия», проверяя цифровые подписи компонентов до старта операционной системы.
Основой работы Secure Boot являются доверенные сертификаты, встроенные в прошивку устройства. Именно они определяют, какой загрузочный код считается безопасным.
Сертификаты Microsoft, выпущенные в 2011 году и используемые в большинстве систем Secure Boot, истекают в июне 2026 года. Это не означает мгновенного отключения защиты, однако приводит к постепенному снижению уровня безопасности загрузочной цепочки.
Чтобы избежать проблем, Microsoft выпустила обновлённые сертификаты 2023 года, которые заменяют устаревшие ключи и обеспечивают актуальную модель защиты.
Что произойдёт, если не обновить сертификаты?
Если устройство продолжит использовать устаревшие сертификаты:
- система Windows будет загружаться и работать без изменений;
- стандартные обновления ОС продолжат приходить;
- но уровень защиты ранней стадии загрузки перестанет соответствовать современным нормам.
Со временем это создаёт риск уязвимостей на уровне boot-цепочки, где традиционные антивирусы уже не работают.
Как обновляются сертификаты Secure Boot?
Для большинства пользователей процесс максимально упрощён. Обновление распространяется через Windows Update.
В большинстве случаев достаточно:
- Убедиться, что включён Secure Boot в BIOS/UEFI.
- Дождаться загрузки актуальных обновлений Windows.
- Перезагрузить устройство при необходимости.
Обновление сертификатов происходит автоматически через загрузку системных патчей.
Как проверить, установлены ли новые сертификаты?
Способ 1: через интерфейс Windows 11
Откройте раздел Безопасность устройства (Device Security):
- зелёный индикатор — система защищена;
- жёлтый — есть рекомендации по улучшению защиты;
- красный — требуются действия.
Способ 2: через PowerShell
Можно выполнить проверку вручную, запустив PowerShell от имени администратора:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'Если результат True, значит система уже использует обновлённые сертификаты 2023 года.
Прямую речь главреда, комментарии и самое интересное за день вы найдете в нашем Telegram-канале.
