I certificati Secure Boot di Windows iniziano a scadere il 24 giugno

I certificati Secure Boot dell'era 2011 che supportano la sicurezza dell'avvio sulla maggior parte dei PC Windows iniziano a scadere il 24 giugno, un mese da oggi. I dispositivi senza i certificati sostitutivi 2023 non smetteranno di funzionare, ma perderanno la capacità di ricevere le future patch di sicurezza a livello di avvio. Gli utenti di Windows 11 con build supportate vengono aggiornati automaticamente, anche se l'hardware più vecchio e le macchine Windows 10 non supportate devono affrontare un percorso più difficile.

Cosa scade e quando

Tre certificati sono in scadenza: il Microsoft Corporation KEK CA 2011 il 24 giugno, il Microsoft UEFI CA 2011 il 27 giugno e il Microsoft Windows Production PCA 2011 il 19 ottobre. Quest'ultimo firma il bootloader di Windows stesso, rendendo il mese di ottobre la scadenza più critica per l'integrità del boot a lungo termine. Microsoft ha iniziato a distribuire i certificati sostitutivi 2023 attraverso Windows Update a gennaio e ha anticipato il rollout con ogni aggiornamento mensile, compreso il KB5089549 di questo mese.

Cosa succede dopo il 24 giugno

Il suo PC non smetterà di avviarsi. Microsoft afferma che i dispositivi con certificati scaduti continueranno ad avviarsi normalmente e a ricevere gli aggiornamenti standard di Windows https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e. Ciò che perdono è la possibilità di ricevere i nuovi aggiornamenti del database Secure Boot, gli elenchi di revoca dei certificati e le patch per le vulnerabilità del boot-layer appena scoperte. Gli exploit a livello di boot, come BlackLotus, hanno preso di mira proprio questo livello. Un dispositivo con certificati scaduti non ha un percorso di patch contro le minacce future a livello di firmware.

Come controllare il suo dispositivo

Apra Windows Security, selezioni Device Security e controlli la sezione Secure Boot. L'articolo di supporto KB5062710 di Microsoft, https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e spiega cosa significa la scadenza e quali sono i passi da compiere se l'aggiornamento non è stato applicato. Gli utenti di Windows 10 che non rientrano nel programma Aggiornamenti di sicurezza estesi non riceveranno i nuovi certificati e non avranno un percorso di correzione a partire dal 24 giugno.

Dispositivi che potrebbero non ricevere la correzione

Alcuni hardware più vecchi richiedono un aggiornamento del firmware OEM corrispondente, oltre al rollout del certificato di Windows, perché la nuova catena di certificati deve essere ancorata direttamente nel firmware UEFI. I dispositivi dei produttori che hanno smesso di rilasciare aggiornamenti del firmware possono rimanere con i certificati del 2011, indipendentemente dall'installazione di Windows. La guida di Microsoft è di applicare l'ultimo aggiornamento, verificare lo stato utilizzando il KB5062710 e contattare l'assistenza OEM se i certificati 2023 non vengono visualizzati su un sistema completamente aggiornato.