Что такое Windows Secure Boot? Полное руководство

Большинство пользователей редко задумываются о функции Secure Boot. Тем не менее, эта функция безопасности Windows предлагает важнейшую защиту от опасного вредоносного ПО, которую некоторые компьютеры недавно утратили.

Так что же такое Secure Boot? И почему стоит обратить внимание на недавние новости, касающиеся этой функции? Ситуация гораздо сложнее, чем кажется, и она требует небольших ручных действий со стороны каждого пользователя.

Вот что вам следует знать.

Что такое Secure Boot?

Secure Boot предотвращает запуск подозрительного программного обеспечения до загрузки Windows. Эта функция стала ответом на появление «буткитов» — типа атак, распространившихся в середине 2000-х годов. Злоумышленники внедряли вредоносный код в последовательность загрузки, что позволяло им незаметно изменять Windows и обходить обнаружение антивирусными программами.

Начиная с Windows 8, Microsoft внедрила Secure Boot для блокировки такого вредоносного ПО. Её распространение значительно повысило безопасность ПК.

Как работает Secure Boot?

Представьте Secure Boot как контрольно-пропускной пункт в особо охраняемом здании. Вход разрешен только лицам из утвержденного списка, и агент проверяет их личность, прежде чем пропустить.

На вашем ПК Secure Boot выполняет такую же проверку. Она основана на сертификатах безопасности, содержащих криптографическую информацию, которая используется для проверки драйверов и других элементов, необходимых для запуска Windows.

В этой аналогии Secure Boot — это агент. Код, загружаемый во время загрузки, — это человек, предъявляющий удостоверение личности (цифровую подпись). А сертификаты безопасности — это база данных, содержащая идентификаторы одобренных для входа субъектов.

Зачем нужны новые сертификаты Secure Boot?

Многие компьютеры поставлялись с оригинальными версиями сертификатов, выпущенными в 2011 году. Только новые ПК поставляются со следующим набором, датированным 2023 годом.

Сертификаты Secure Boot 2011 года должны были истечь через 15 лет, в 2026 году. По словам Microsoft, этот план был направлен на «обеспечение непрерывной проверки доверенного загрузочного ПО на устройствах Windows». В настоящее время три из четырех сертификатов уже достигли конца срока службы (это произошло в конце июня 2026 года). Четвертый истечет в октябре 2026 года.

Истекшие сертификаты означают ослабление защиты вашего ПК — Secure Boot не сможет блокировать новые атаки на процесс загрузки. Обновление до сертификатов 2023 года поддерживает постоянную защиту от буткитов и другого вредоносного ПО, нацеленного на процесс запуска.

Как проверить, устарели ли мои сертификаты Secure Boot?

Вы должны вручную проверить в Windows, актуальны ли ваши сертификаты Secure Boot — возможность загрузиться в Windows не является доказательством. ПК может запускать Windows даже с истекшими сертификатами 2011 года.

В большинстве случаев Windows уведомит вас о проблеме — один из признаков это синий значок щита на панели задач с желтой или красной меткой.

В противном случае откройте приложение «Безопасность Windows» и выберите «Безопасность устройства». Зеленая галочка означает, что у вас установлены сертификаты Secure Boot 2023 года и они актуальны. Желтое или красное предупреждение указывает на необходимость принять меры.

Действительно ли Secure Boot так необходим?

Комментарии в интернете часто советуют не беспокоиться о вредоносном ПО уровня UEFI/BIOS, утверждая, что это касается только объектов государственных атак (например, журналистов, освещающих события в Северной Корее). Однако такое отношение можно объяснить наличием Secure Boot в Windows. До ее внедрения не нужно было быть целью спонсируемых государством хакеров, чтобы заразиться буткитом.

Таким образом, вы можете использовать свой ПК с истекшими сертификатами Secure Boot, точно так же, как вы можете продолжать ездить на машине, когда загорается индикатор «Check Engine». Но игнорирование предупреждения может привести к серьезным проблемам в будущем.

Избавление от вредоносного ПО, влияющего на последовательность загрузки, — огромная проблема как с точки зрения обнаружения, так и удаления. Secure Boot обеспечивает защиту на случай такой ситуации, поскольку она не позволит вашей системе загрузиться. Вы как минимум получите предупреждение о том, что с вашим ПК произошло что-то неприятное.

Как получить обновленные сертификаты Secure Boot?

Большинство ПК под управлением Windows уже получили сертификаты Secure Boot 2023 года. Если вы видите зеленую галочку, значит, все в порядке, и вам больше не о чем беспокоиться.

Если у вас желтое или красное предупреждение, вам придется более активно взаимодействовать с вашим ПК — выяснить, предоставляет ли производитель поддержку для вашего компьютера, нужно ли выполнять ручное обновление UEFI/BIOS и т.д. Дополнительную информацию о том, что делать (и как это делать), вы можете найти в руководстве по обновлению Secure Boot.

Что делать, если не удается обновить сертификаты Secure Boot?

Ваши дальнейшие действия зависят от того, получил ли ваш ПК желтое или красное предупреждение. Желтое обычно означает, что вам просто нужно немного подождать (и убедиться, что ваш UEFI/BIOS обновлен).

Красное предупреждение может означать, что ваш ПК не получит новые сертификаты Secure Boot. Некоторые производители заявили о прекращении поддержки определенных устаревших продуктов. Это означает, что вы не получите обновление UEFI/BIOS, необходимое для более новых сертификатов 2023 года.

В такой неудачной ситуации у вас есть два основных варианта. Чтобы остаться на Windows, вам придется приобрести новый ПК. В качестве альтернативы, вам нужно будет освоить Linux — особенно дистрибутив, который может заполнить этот пробел.