Что такое Windows Secure Boot и почему вам нужно обновить сертификаты

Большинство пользователей не задумываются о функции Secure Boot, но этот компонент безопасности Windows играет критически важную роль в защите от опасного вредоносного ПО. В последнее время Secure Boot привлекает к себе повышенное внимание из-за истекающих сроков действия старых сертификатов, что может ослабить защиту некоторых компьютеров. Ситуация сложнее, чем кажется, и требует активных действий от пользователей.

Что такое Secure Boot?

Secure Boot предотвращает запуск подозрительного программного обеспечения до загрузки Windows. Эта функция была разработана в ответ на появление "буткитов" — типа атак, появившихся в середине 2000-х годов. Злоумышленники внедряли вредоносный код в процесс загрузки, позволяя им модифицировать Windows незаметно и обходить обнаружение антивирусными программами.

Начиная с Windows 8, Microsoft внедрила Secure Boot для блокировки такого вредоносного ПО, что стало значительным шагом в повышении безопасности ПК.

Как работает Secure Boot?

Представьте Secure Boot как контрольно-пропускной пункт у строго охраняемого здания. Только люди из утвержденного списка могут войти, и агент проверяет личности перед пропуском. На вашем ПК Secure Boot выполняет такую же проверку. Он полагается на сертификаты безопасности, содержащие криптографическую информацию, которая используется для проверки драйверов и других элементов, необходимых для запуска Windows.

В этой аналогии Secure Boot — это агент. Код, загружаемый во время загрузки, — это человек, показывающий удостоверение личности (цифровую подпись). А сертификаты безопасности — это база данных, содержащая удостоверения личности одобренных «посетителей».

Буткиты целятся именно в этот момент — во время запуска, до загрузки Windows.

Почему необходимы новые сертификаты Secure Boot?

Многие компьютеры поставлялись с оригинальными версиями сертификатов, выпущенных в 2011 году. Только более новые машины оснащены следующим набором сертификатов от 2023 года. Сертификаты Secure Boot 2011 года планировалось, что истекут через 15 лет, в 2026 году, чтобы "обеспечить продолжение проверки доверенного загрузочного ПО на устройствах Windows". На данный момент три из четырех сертификатов уже достигли конца своего жизненного цикла (это произошло в конце июня 2026 года), а четвертый истечет в октябре 2026 года.

Истекшие сертификаты означают ослабление защиты вашего ПК — Secure Boot не сможет блокировать более новые атаки на процесс загрузки. Обновление до сертификатов 2023 года поддерживает постоянную защиту от буткитов и другого вредоносного ПО, нацеленного на процесс запуска.

Как узнать, устарели ли мои сертификаты Secure Boot?

Вы должны вручную проверить в Windows, актуальны ли ваши сертификаты Secure Boot — возможность загрузиться в Windows не является доказательством их актуальности. ПК может по-прежнему запускать Windows с просроченными сертификатами 2011 года.

В большинстве случаев Windows уведомит вас о проблеме — одним из признаков является синий значок щита на панели задач с желтой или красной отметкой. В противном случае откройте приложение «Безопасность Windows» и выберите «Безопасность устройства». Зеленая галочка означает, что у вас есть сертификаты Secure Boot 2023 года и ваша система актуальна. Желтое или красное предупреждение указывает на необходимость предпринять действия.

Действительно ли Secure Boot так необходим?

В интернете часто советуют не беспокоиться о вредоносном ПО на уровне UEFI/BIOS, утверждая, что это касается только целей правительственных атак (например, журналистов, освещающих Северную Корею). Однако такое отношение появилось благодаря присутствию Secure Boot в Windows. До его внедрения заражение буткитом могло произойти с кем угодно, не обязательно быть целью государственных хакеров.

Вы можете использовать свой ПК с просроченными сертификатами Secure Boot, так же как вы можете продолжать ездить на машине, когда загорается индикатор «Check Engine». Но игнорирование предупреждения может привести к большим проблемам позже. Удаление вредоносного ПО, которое затрагивает последовательность загрузки, — огромная головная боль как с точки зрения обнаружения, так и удаления. Secure Boot обеспечивает защиту в таких случаях, потому что он просто не позволит вашей системе загрузиться, если что-то пойдет не так. Это по крайней мере дает вам понять, что с вашим ПК произошло что-то неприятное.

Как получить обновленные сертификаты Secure Boot?

Большинство ПК под управлением Windows, способных поддерживать сертификаты 2023 года, уже получили их автоматически. Если вы видите зеленую галочку, все в порядке, и вам не о чем беспокоиться.

Если у вас есть желтое или красное предупреждение, вам придется более активно заняться своим ПК — проверить, получит ли ваш компьютер поддержку от производителя, нужно ли выполнять ручное обновление UEFI/BIOS и так далее. Подробную информацию о том, что делать (и как это сделать), можно найти в руководствах по обновлению Secure Boot.

Microsoft автоматически распространит сертификаты Secure Boot 2023 года на ПК, способные их поддерживать. Поэтому может потребоваться обновление UEFI/BIOS вашего ПК.

Что произойдет, если я не смогу получить обновленные сертификаты Secure Boot?

Ваши дальнейшие действия зависят от того, получили ли вы желтое или красное предупреждение. Желтый обычно означает, что вам просто нужно немного подождать (и убедиться, что ваш UEFI/BIOS обновлен).

Красный может означать, что ваш ПК не получит новые сертификаты Secure Boot. Некоторые производители заявили о прекращении поддержки определенных устаревших продуктов. Это означает, что вы не получите необходимое обновление UEFI/BIOS для новых сертификатов 2023 года.

В такой неблагоприятной ситуации у вас есть два основных варианта. Чтобы остаться на Windows, вам придется купить новый ПК. В качестве альтернативы вам нужно будет освоить Linux — особенно дистрибутив, который может решить эту проблему.