Niet elke oude pc met Windows 11 kan nieuwe Secure Boot-certificaten krijgen
Microsoft heeft nu ook zelf bevestigd dat het installeren van nieuwe Secure Boot-certificaten op een aantal Windows 11-computers mislukt of wordt geblokkeerd (via Windows Latest). Volgens het bedrijf zijn er compatibiliteitsproblemen vastgesteld op bepaalde systemen, waardoor de update niet veilig kan installeren. Microsoft werkt samen met computerfabrikanten aan een oplossing en heeft de uitrol voor getroffen apparaten voorlopig gepauzeerd.
Oudere Secure Boot-certificaten uit 2011 zijn inmiddels verlopen. Microsoft wil die vervangen door nieuwe certificaten uit 2023, zodat Windows-systemen ook in de toekomst veilig kunnen blijven opstarten en beschermd blijven tegen schadelijke software op firmware-niveau. Net die vervanging zorgt nu voor problemen.
Gebruikers met een problematische pc kunnen in de Windows-beveiliging-app een nieuwe melding krijgen met de tekst dat de Secure Boot-update is geblokkeerd vanwege een bekend probleem. Microsoft legt uit dat de maatregel bewust is genomen om risico’s te beperken totdat er een officiële oplossing beschikbaar is.
Wil je zelf checken of je computer up te date is, ga dan naar Windows-beveiliging > Apparaatbeveiliging en kijk bij ‘Beveiligd opstarten’ of je het groene vinkje ziet. Daar moet dan bij staan ‘Beveiligd opstarten is ingeschakeld en alle vereiste certificaatupdates zijn toegepast. Er zijn geen verdere certificaatwijzigingen nodig.’.
Fabrikanten moeten meewerken
Volgens Microsoft hebben de meeste compatibele Windows 11-pc’s de nieuwe certificaten inmiddels automatisch ontvangen via Windows Update. Toch zijn er systemen waarbij compatibiliteitscontroles problemen detecteren, waardoor de update niet verschijnt. In sommige gevallen is daarvoor eerst een nieuwe firmware- of BIOS-update van de fabrikant nodig.
Ook hardwarefabrikanten hebben de problemen bevestigd. HP meldde eerder dat sommige systemen na een BIOS-update kunnen vastlopen in een BitLocker-herstelprocedure, waardoor de installatie van de nieuwe Secure Boot-certificaten mislukt. Microsoft heeft naar aanleiding van dergelijke meldingen samen met verschillende fabrikanten onderzocht welke apparaten risico lopen.
Voor oudere computers kan de situatie helemaal vervelend worden. Microsoft waarschuwt dat sommige fabrikanten mogelijk geen nieuwe firmware-updates meer uitbrengen voor verouderde modellen. Daardoor kunnen bepaalde systemen de nieuwe Secure Boot-certificaten niet ontvangen. Gebruikers krijgen het advies om de ondersteuningspagina van hun fabrikant te raadplegen om te controleren of er een firmware-update beschikbaar is.
Microsoft benadrukt wel dat gebruikers zich voorlopig geen grote zorgen hoeven te maken. Een verlopen Secure Boot-certificaat betekent niet dat een pc stopt met werken of niet meer kan opstarten. Normale Windows-updates, beveiligingsupdates en gewone taken blijven functioneren. Wel kunnen toekomstige beveiligingsverbeteringen voor het opstartproces niet volledig activeren, waardoor de bescherming op langere termijn achter kan blijven ten opzichte van volledig bijgewerkte systemen.
