Срок обновления Secure Boot для Windows не "окирпичит" ваш ПК, но не стоит его игнорировать

В последние месяцы активно обсуждались важные изменения в сертификатах Secure Boot, используемых в Windows 11, которые критически важны для безопасной загрузки системы. Microsoft неоднократно предупреждала, что с июня ПК могут столкнуться с серьезными проблемами, если устаревшие сертификаты не будут обновлены своевременно.

Однако Microsoft внесла ясность в некоторые вопросы, касающиеся Secure Boot, и дала успокаивающие заверения. 24 июня не следует рассматривать как «жесткий» крайний срок, после которого затронутые системы перестанут использовать Secure Boot. Вместо этого, эта дата относится конкретно к доставке ключа обмена (Key Exchange Key), который служит ключом безопасности для Secure Boot. Кроме того, существует второй ключ (DB Key), срок действия которого истекает только в октябре 2026 года.

Таким образом, если вы не получили все новые сертификаты Secure Boot к 24 июня, не стоит паниковать. Microsoft ожидает, что сможет продолжать поставлять загрузочные менеджеры до октября, используя второй ключ.

«Нет конечной даты, когда ключ реестра и обновление перестанут работать», — подтвердил Скотт Шелл, главный инженер-проектировщик программного обеспечения в Microsoft.

Тем не менее, после июня будут действовать определенные ограничения для всех систем, которые не обновили Secure Boot. Например, ваша система больше не сможет загружать новые черные списки DBX (они содержат подписи неисправных или опасных загрузчиков, которые могут нанести вред вашей системе и блокируются Windows).

Что, если вы не используете Secure Boot?

Microsoft ответила на еще один важный вопрос: что происходит со всеми системами, у которых в настоящее время Secure Boot отключен, но которые, возможно, захотят использовать его в будущем?

Если Secure Boot отключен, Microsoft не может обновить необходимые сертификаты. Это не является проблемой, если Secure Boot остается отключенным (хотя Secure Boot рекомендуется для защиты вашего ПК от угроз).

Шелл пояснил, что Microsoft обновит загрузочный менеджер на этих компьютерах до версии, подписанной для 2023 года. Сам загрузочный менеджер будет готов к использованию, но соответствующие сертификаты все равно потребуются. Если их нет, компьютер может вообще не запуститься.

Перед первым включением Secure Boot каждый пользователь или системный администратор должен убедиться, что новейшие сертификаты сначала загружены вручную. Microsoft подробно описала эту процедуру на своей странице поддержки.

Тем временем виртуальные машины, размещенные в облаке Azure и использующие функции «Secure Launch» или «Trusted Launch», получат новые сертификаты автоматически. В этом случае вам не нужно предпринимать никаких дополнительных действий.

Есть ли различия между Windows 11 и Windows 10?

На вопрос о различиях в обновлениях Secure Boot для Windows 10 и Windows 11 Microsoft ответила отрицательно. Windows 10 будет продолжать получать соответствующие исправления безопасности в рамках расширенной поддержки (Extended Security Updates) до октября, и сертификаты Secure Boot включены в этот процесс.

Единственное отличие состоит в том, что некоторые старые системы изначально не поставлялись с включенным Secure Boot или работают в конфигурациях, которые не отправляют данные телеметрии в Microsoft. В этом случае вам потребуется предпринять дополнительные шаги для получения сертификатов.

Лучше всего использовать новый инструмент-индикатор, чтобы проверить, обновлены ли сертификаты Secure Boot, а затем загрузить их вручную. Microsoft подчеркивает: чем раньше ваши сертификаты будут обновлены, тем лучше.