Microsoft mení kľúče Secure Boot, staršie počítače potrebujú kontrolu

Počítače s Windowsom aj Linuxom prechádzajú výmenou starých certifikátov Secure Boot, ktoré sa používajú pri bezpečnom štarte systému. Microsoft uvádza, že bežné podporované zariadenia sa majú aktualizovať automaticky, no staršie alebo zriedka aktualizované notebooky môžu potrebovať kontrolu. Nejde o to, že by počítače zo dňa na deň prestali fungovať, ale bez nových kľúčov môžu časom prísť o časť budúcich ochrán a kompatibility.

Secure Boot je bezpečnostná funkcia v moderných počítačoch, ktorá pri štarte overuje, či sa načítava dôveryhodný bootloader a ďalšie nízkoúrovňové súčasti systému. Cieľom je znížiť riziko útokov, ktoré sa spúšťajú ešte pred samotným Windowsom alebo Linuxom a môžu obísť bežný antivírus. Bežný používateľ sa o Secure Boot doteraz väčšinou nemusel zaujímať, pretože výrobcovia počítačov, operačné systémy a aktualizácie spravovali potrebné kľúče na pozadí.

Dôvodom sú certifikáty, ktoré Microsoft používal v ekosystéme Secure Boot od roku 2011. Podľa Microsoft Support ich nahrádza nová generácia certifikátov z roku 2023. Prvý z dotknutých certifikátov, Microsoft Corporation KEK CA 2011, expiroval 24. júna 2026 a slúžil na podpisovanie aktualizácií databáz DB a DBX, teda zoznamov dôveryhodných a zakázaných komponentov.

Ďalší certifikát, Microsoft UEFI CA 2011, expiroval 27. júna 2026. Microsoft uvádza, že sa používal na podpisovanie bootloaderov tretích strán a EFI aplikácií, čo je dôležité aj pri časti linuxových systémov. Certifikát Microsoft Windows Production PCA 2011, používaný pri Windows bootloaderi, má podľa Microsoftu expirovať 19. októbra 2026 a nahrádza ho Windows UEFI CA 2023.

V praxi to neznamená, že počítač bez aktualizovaných certifikátov po dátume expirácie automaticky odmietne naštartovať. Microsoft v dokumentácii Microsoft Learn píše, že zariadenie môže ďalej štartovať a dostávať bežné aktualizácie Windowsu. Riziko je inde: takýto počítač nemusí dostať budúce ochrany Secure Boot pre skoré štartovacie komponenty a môže naraziť na kompatibilitu pri novších boot komponentoch.

Pre domácich používateľov je najdôležitejšia jednoduchá zásada: ak je počítač podporovaný, pravidelne aktualizovaný a Windows Security neukazuje varovanie, väčšinou netreba robiť nič. Microsoft v návode pre Windows Security uvádza, že aktualizácia certifikátov Secure Boot sa na spotrebiteľských počítačoch doručuje automaticky cez Windows Update. Používateľ by preto nemal ručne meniť nastavenia UEFI, ak nevie presne, čo robí.

Od apríla 2026 má aplikácia Windows Security zobrazovať stav aktualizácie certifikátov Secure Boot v časti Device security a následne Secure Boot. Ak systém ukazuje, že je všetko v poriadku, používateľ môže pokračovať v bežných aktualizáciách. Ak sa objaví upozornenie, ďalším krokom je najprv skontrolovať Windows Update a dostupné aktualizácie firmvéru od výrobcu notebooku alebo základnej dosky.

Microsoft zároveň odporúča, aby sa pri starších modeloch najprv nasadili aktualizácie firmvéru od výrobcu. Dôvodom je kompatibilita: niektoré staršie UEFI implementácie môžu s novými databázami Secure Boot pracovať horšie alebo môžu potrebovať opravy výrobcu. Týka sa to najmä zariadení, ktoré roky nedostali aktualizáciu BIOSu alebo UEFI, prípadne počítačov, ktoré boli dlhý čas odložené a zapínajú sa len občas.

Na Slovensku môže ísť o praktický problém v domácnostiach, školách aj menších firmách. Mnohé z nich stále používajú staršie notebooky s Windowsom 10, repasované zariadenia alebo počítače, pri ktorých sa veľké aktualizácie odkladajú, aby nenarušili vyučovanie alebo prevádzku. Práve takéto stroje nemusia byť pokazené ani nebezpečné, no mali by prejsť kontrolou skôr, než sa problém prejaví pri väčšej aktualizácii systému alebo pri preinštalovaní počítača.

Firmy a školy by mali tému riešiť širšie ako jednotlivý používateľ. IT správcovia potrebujú vedieť, ktoré zariadenia majú zapnutý Secure Boot, ktoré dostali aktualizované certifikáty a ktoré modely ešte majú dostupné aktualizácie firmvéru od výrobcu. Dôležité sú aj skladové, náhradné a špecializované počítače, ktoré sa nezapínajú každý týždeň a bežné automatické aktualizácie ich preto nemusia zastihnúť včas.

Pri Linuxe je situácia podobná v tom, že samotná expirácia certifikátov nemá automaticky rozbiť existujúce inštalácie. Spoločnosť Red Hat uvádza, že podporované verzie Red Hat Enterprise Linuxu dostávajú shim podpísaný certifikátom z roku 2023. Shim je malá súčasť štartu systému, ktorá pomáha linuxovým distribúciám fungovať so Secure Bootom v počítačoch navrhnutých aj pre Windows.

Spoločnosť Canonical v dokumentácii Ubuntu uvádza, že typický používateľ Ubuntu nemusí robiť extra kroky, pretože správa kľúčov je riešená cez certifikát Canonical vložený v shim binárke podpísanej Microsoftom. Väčšie riziko je pri starších alebo upravovaných inštaláciách, pri vlastných bootloaderoch a pri zariadeniach, kde používateľ alebo správca menil nastavenia Secure Boot manuálne.

Technologický web Ars Technica upozornil, že stroje bez aktualizovaných kľúčov budú ďalej fungovať, ale nemusia byť chránené pred novými UEFI hrozbami. To je dôležitý rozdiel oproti bežnej predstave o expirácii certifikátu: nejde o okamžitý výpadok, ale o postupné zaostávanie bezpečnostného základu počítača.

Pre bežného používateľa je bezpečný postup pomerne úzky. Treba nechať zapnuté automatické aktualizácie Windowsu, skontrolovať aplikáciu Windows Security a pri varovaní vyhľadať aktualizáciu firmvéru na stránke výrobcu zariadenia. Ak ide o pracovný počítač, používateľ by nemal meniť UEFI ani vypínať Secure Boot, ale mal by sa obrátiť na firemné IT oddelenie.

Ručné zásahy do Secure Bootu môžu mať vedľajšie následky, najmä ak má počítač zapnuté šifrovanie disku alebo špecifické firemné nastavenia. Vypnutie Secure Bootu môže síce dočasne obísť niektoré problémy pri štarte, ale zároveň znižuje ochranu pred škodlivým kódom v najskoršej fáze spúšťania systému. Servisy a IT správcovia preto budú musieť pri starších zariadeniach posúdiť, či sa oplatí hľadať aktualizáciu firmvéru, ponechať počítač v obmedzenom režime, alebo ho vyradiť z citlivej prevádzky.

Otvorenou otázkou zostáva, ako podrobne jednotliví výrobcovia notebookov zverejnia podporu pre staršie modely a či firmy a školy stihnú skontrolovať aj počítače, ktoré sa v bežnej inventúre síce nachádzajú, ale aktualizácie dostávajú len sporadicky.