Windows 11 moet tegen maandag een nieuw Secure Boot-certificaat krijgen
Secure Boot maakt deel uit van de UEFI-firmware en controleert of software die tijdens het opstarten wordt geladen, een vertrouwde digitale handtekening heeft. Dat helpt voorkomen dat schadelijke code al actief wordt voordat Windows volledig is gestart. De certificaten die daarvoor worden gebruikt, stammen voor een groot deel uit 2011 en worden nu vervangen door een nieuwe reeks uit 2023.
Twee certificaten uit de oude reeks verliepen al in juni. Op 19 oktober is Microsoft Windows Production PCA 2011 aan de beurt. Dat certificaat wordt gebruikt om Windows Boot Manager te ondertekenen. De vervanger is Windows UEFI CA 2023.
Wat als je de update niet hebt?
Een pc zonder de nieuwe certificaten blijft volgens Microsoft normaal opstarten en gewone Windows-updates ontvangen. Dat betekent echter niet dat de beveiliging volledig op peil blijft. Updates voor Windows Boot Manager, de Secure Boot-databases en lijsten met ingetrokken certificaten kunnen ontbreken. Daardoor kan een computer kwetsbaar blijven voor problemen in de opstartketen.
Dat is geen louter theoretisch risico. De malware BlackLotus kon Secure Boot omzeilen, zelfs op Windows 11-systemen waarop de beschikbare updates waren geïnstalleerd. De vernieuwde certificaten en bijbehorende beveiligingsupdates moeten helpen om dergelijke aanvalsmogelijkheden aan te pakken.
Microsoft verspreidt de certificaten via Windows Update. Op veel geschikte computers verloopt dat automatisch, op voorwaarde dat Windows wordt ondersteund, updates niet zijn gepauzeerd en Secure Boot actief is. De uitrol gebeurt wel gefaseerd. Microsoft kijkt naar hardware- en firmwareconfiguraties en breidt de verspreiding uit wanneer vergelijkbare systemen de update succesvol hebben verwerkt.
De updates van september en oktober hebben die uitrol verder uitgebreid. Toch kan het zijn dat een computer de certificaten nog niet heeft ontvangen. Soms zijn ook meerdere herstarts nodig voordat alle wijzigingen zijn doorgevoerd.
Zo controleer je de status van Secure Boot
Je kan nagaan of Windows de nieuwe certificaten al heeft geïnstalleerd via Windows-beveiliging > Apparaatbeveiliging > Secure Boot. Daar toont Windows een statusmelding. Staat er dat alle vereiste certificaatupdates zijn toegepast, dan is de update afgerond. Bij een melding over een oudere vertrouwensconfiguratie kan je eerst controleren of er nog Windows-updates klaarstaan en de computer opnieuw opstarten.
Geeft Windows aan dat het toestel door een bekend probleem wordt getroffen, dan kan Microsoft de update tijdelijk hebben tegengehouden. Bij een melding over hardware- of firmwarebeperkingen is het verstandig de ondersteuningspagina van de fabrikant te raadplegen. Onder meer Dell, HP, Lenovo, Asus en Acer bieden informatie over de Secure Boot-certificaten en eventuele BIOS-updates.
Je kan ook msinfo32 openen via de zoekfunctie van Windows. Bij ‘Status beveiligd opstarten’ zie je of Secure Boot actief is. Ontbreekt de Secure Boot-optie in Windows-beveiliging, dan kan Secure Boot uitgeschakeld zijn, kan de pc nog met Legacy BIOS werken of kan Windows 11 op niet-ondersteunde hardware draaien.
Schakel Secure Boot in ieder geval niet uit om de certificaatdeadline te omzeilen. Windows kan intussen al een bootmanager gebruiken die met het nieuwe certificaat is ondertekend. Als de firmware daarna alleen het oude certificaat vertrouwt, kan de computer problemen krijgen bij het opnieuw inschakelen van Secure Boot. Ook het terugzetten van de BIOS-instellingen naar de fabriekswaarden kan risico’s opleveren.
Maak bij eventuele firmware-updates vooraf een back-up van je BitLocker-herstelsleutel. Sommige BIOS-updates hebben eerder geleid tot systemen die bij het opstarten in een BitLocker-herstelprocedure terechtkwamen.
Microsoft beschouwt een pc pas als volledig bijgewerkt wanneer zowel de nieuwe certificaten als de nieuwe bootmanager aanwezig zijn. Vertrouw daarom niet uitsluitend op het feit dat Windows Update geen nieuwe updates meer aanbiedt: de statusmelding in Windows-beveiliging geeft de duidelijkste bevestiging.
