Os certificados do Windows Secure Boot começam a expirar em 24 de junho

Os certificados Secure Boot da era 2011 que respaldam a segurança de inicialização na maioria dos PCs com Windows começam a expirar em 24 de junho, um mês a partir de hoje. Os dispositivos sem os certificados de substituição de 2023 não deixarão de funcionar, mas perderão a capacidade de receber futuros patches de segurança no nível de inicialização. Os usuários do Windows 11 em compilações compatíveis estão sendo atualizados automaticamente, embora hardware mais antigo e máquinas Windows 10 sem suporte enfrentem um caminho mais difícil.

O que expira e quando

Três certificados estão chegando ao fim: o Microsoft Corporation KEK CA 2011, em 24 de junho, o Microsoft UEFI CA 2011, em 27 de junho, e o Microsoft Windows Production PCA 2011, em 19 de outubro. O último assina o próprio carregador de inicialização do Windows, tornando outubro o prazo mais crítico para a integridade da inicialização a longo prazo. A Microsoft começou a distribuir certificados de substituição 2023 por meio do Windows Update em janeiro e avançou a distribuição com cada atualização mensal, incluindo a KB5089549 deste mês.

O que acontece depois de 24 de junho

Seu PC não deixará de ser inicializado. A Microsoft afirma que os dispositivos com certificados expirados continuarão a ser iniciados normalmente e receberão as atualizações padrão do Windows https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e. O que eles perdem é a capacidade de receber novas atualizações do banco de dados do Secure Boot, listas de revogação de certificados e correções para vulnerabilidades recém-descobertas da camada de inicialização. As explorações em nível de inicialização, como o BlackLotus, têm como alvo específico essa camada. Um dispositivo com certificados expirados não tem um caminho de correção contra futuras ameaças no nível do firmware.

Como verificar seu dispositivo

Abra o Windows Security, selecione Device Security e verifique a seção Secure Boot. O artigo de suporte da Microsoft KB5062710 aborda o significado da expiração e as medidas a serem tomadas se a atualização não tiver sido aplicada. Os usuários do Windows 10 fora do programa Extended Security Updates não receberão os novos certificados e não terão um caminho de correção a partir de 24 de junho.

Dispositivos que podem não receber a correção

Alguns hardwares mais antigos exigem uma atualização de firmware OEM correspondente juntamente com a implementação do certificado do Windows, pois a nova cadeia de certificados deve ser ancorada diretamente no firmware UEFI. Os dispositivos de fabricantes que pararam de emitir atualizações de firmware podem permanecer com os certificados de 2011, independentemente do que o Windows instalar. A orientação da Microsoft é aplicar a atualização mais recente, verificar o status usando o KB5062710 e entrar em contato com o suporte OEM se os certificados 2023 não estiverem sendo exibidos em um sistema totalmente atualizado.