Windows переходит на новую версию Secure Boot. Что это значит для пользователей?
Сертификат, на котором держалась защита загрузки Windows, доживает последние часы. Microsoft уже начала переводить компьютеры на новый — и рассказала, с какими последствиями могут столкнуться «ждуны», игнорирующие патчи системы.
19 октября истекает срок действия Microsoft Windows Production PCA 2011 — одного из сертификатов, на которых много лет работала функция Secure Boot в Windows. Эта система проверяет цифровые подписи загрузочных компонентов до запуска ОС и не даёт запускаться неподтверждённому коду. Сейчас Microsoft переводит компьютеры на новый набор сертификатов 2023 года, а Production PCA 2011 остаётся последним из старых, срок действия которого ещё не закончился.
Само по себе устаревание сертификата компьютер не сломает. Windows продолжит запускаться и получать обычные обновления, но без нового сертификата ПК перестанет получать свежие обновления Windows Boot Manager, баз Secure Boot и списков отозванных подписей. Со временем это может ослабить защиту от новых угроз, которые вмешиваются в процесс загрузки системы.
Чтобы этого не произошло, Microsoft уже распространяет сертификаты 2023 года через Windows Update. На большинстве совместимых ПК они устанавливаются автоматически, поэтому вручную ничего делать не нужно. В Windows 10 обновление доступно только на устройствах, которые продолжают получать поддержку, включая компьютеры с ESU.
Проверить статус можно в меню настроек. Зелёная отметка означает, что нужные сертификаты уже установлены. Если система сообщает об устаревшей конфигурации, сначала стоит установить все доступные обновления Windows и перезагрузить компьютер.
Если вместо этого появляется жёлтое или красное предупреждение, проблема может быть связана с прошивкой или временной блокировкой обновления. Тогда Microsoft рекомендует проверить свежую версию UEFI на сайте производителя. Перед обновлением прошивки лучше сохранить ключ восстановления BitLocker, если эта функция используется.
Отключать Secure Boot ради обхода проблемы не стоит. После перехода Windows на новый загрузчик повторное включение функции на системе со старыми сертификатами может привести к проблемам с запуском.
Развёртывание новых сертификатов продолжается, поэтому часть компьютеров получит их позже. Для полной установки иногда требуется несколько перезагрузок, а итоговый статус лучше проверять в разделе Secure Boot в «Безопасности Windows».