Siga ZDNET: Agréganos como fuente preferida en Google.

Conclusiones secreto de ZDNET

• Secure Boot protege las PC modernas con Windows y Linux.
• Los certificados de Microsoft Secure Boot de 2011 caducan en junio de 2026.
• La mayoría de los propietarios de PC están acertadamente si instalan las últimas actualizaciones.

La plazo conclusión de fin de soporte del año pasado para Windows 10 fue una gran prueba tanto para los consumidores como para los profesionales de TI. ¡La buena aviso es que todos pasaron! La mala aviso es que hay otra plazo de vencimiento crucial a la revés de la arista.

Cada PC con Windows diseñada y construida desde 2011 admite una función llamamiento Puesta en marcha seguro. Esta función, que está activada de forma predeterminada en las PC nuevas vendidas con Windows 10 y Windows 11, actúa como un cuidador que permite que solo se ejecute software confiable al inicio. Si alguno intenta alterar el sistema activo o iniciar desde un dispositivo no comercial, Secure Boot bloquea ese intento.

Incluso: Cómo refrescar su PC con Windows 10 ‘incompatible’ a Windows 11, graciosamente

Todas las versiones actualmente compatibles de Windows admiten el puesta en marcha seguro, al igual que un número cada vez longevo de distribuciones de Linux, incluidas Ubuntu, Fedora, Linux Mint, OpenSUSE y muchas otras.

Cómo funciona el puesta en marcha seguro

Secure Boot se basamento en una cautiverio de certificados criptográficos que verifican la firma de cada componente de puesta en marcha. Uno de los certificados más importantes es la secreto de intercambio de claves (KEK), que se encuentra en el firmware UEFI y funciona con el módulo de plataforma confiable (TPM) para gobernar la tira de cargadores de puesta en marcha confiables, que están contenidos en la colchoneta de datos de firmas permitidas (DB) y la colchoneta de datos de firmas prohibidas (DBX).

Los certificados de Autoridad de certificación de producción (CA) y UEFI CA emitidos por Microsoft incluso son esenciales para el funcionamiento del puesta en marcha seguro y incluso deben actualizarse.

Si compró una PC en los últimos 15 primaveras, es casi seguro que contenga certificados KEK y UEFI CA emitidos por Microsoft de 2011, que están programados para expirará en junio de 2026. Para refrescar esos certificados, necesita acercamiento a la raíz de confianza: la secreto de plataforma, que es administrada por el OEM del hardware.

Incluso: Luego de configurar Windows 11, estos 9 pasos no son negociables para mí

Cuando los certificados de puesta en marcha seguro caducan, ya no podrán validar el software de puesta en marcha. Su computadora aún se iniciará y funcionará normalmente, pero ya no podrá cobrar actualizaciones del Administrador de puesta en marcha de Windows, bases de datos de puesta en marcha seguro y listas de revocación, ni correcciones para vulnerabilidades recién descubiertas en la cautiverio de puesta en marcha.

Puede desactivar el puesta en marcha seguro, pero hacerlo significa que no podrá aceptar a los discos cifrados con BitLocker sin proporcionar la secreto de recuperación.

Microsoft señala que los escenarios que dependen de la confianza en el puesta en marcha seguro (como el refuerzo de BitLocker, la integridad del código a nivel de puesta en marcha o los cargadores de puesta en marcha y ROM opcionales de terceros) incluso pueden hallarse afectados si requieren una confianza en el puesta en marcha seguro actualizada.

En 2023, Microsoft emitió reemplazos para esos certificados de puesta en marcha seguro. Pero el objetivo del maniquí de certificado de puesta en marcha seguro es que esos certificados no son fáciles de reemplazar; si lo fueran, todos los desarrolladores de malware del mundo estarían concentrando su energía en hacer exactamente eso, creando rootkits maliciosos que se ejecutan en el inicio y no se pueden detectar fácilmente.

Para prepararse para este evento de acabamiento masiva, Microsoft y sus socios de hardware han estado trabajando durante varios primaveras, coordinando una serie universal de actualizaciones diseñadas para reemplazar esos certificados obsoletos con la interpretación 2023. Microsoft ha documentado el progreso en un nueva publicación de blog:

Nuestros socios del ecosistema desempeñan un papel fundamental en la transición a los nuevos certificados de puesta en marcha seguro. Los OEM han estado proporcionando certificados actualizados en dispositivos nuevos y en muchas PC más nuevas construidas desde 2024, y casi todos los dispositivos enviados en 2025 ya incluyen los certificados y no requieren ninguna bono por parte de los clientes. Los socios OEM incluso han trabajado estrechamente con nuestros equipos de ingeniería para avalar que los dispositivos del mercado puedan aplicar las actualizaciones sin problemas y han brindado su propia orientación para ayudar a los clientes a prepararse para la transición. Como resultado de ese esfuerzo concertado, es posible que pronto vea una aggiornamento de firmware que llevará el núcleo de seguridad de su computadora a la era moderna, retrasando las fechas de vencimiento de los certificados otra período o más.

Para la mayoría de las personas, este proceso debería ser discreto. Es posible que ya hayas instalado las actualizaciones necesarias sin darte cuenta.

Para esta publicación, he reunido una tira de preguntas frecuentes, pegado con respuestas autorizadas.

¿Por qué caducan estos certificados?

Quince primaveras es mucho tiempo. Los estándares de seguridad avanzan dramáticamente cada año y es corriente retirar los certificados antiguos y reemplazarlos con certificados recién emitidos que cumplan con los estándares de seguridad modernos en superficie de convertirse en un punto de vulnerabilidad.

¿Mi PC tiene certificados de puesta en marcha seguro que caducan?

Si su computadora fue diseñada y construida luego de 2011, incluye certificados de puesta en marcha seguro. Cualquier dispositivo que haya sido diseñado y construido antaño de 2024 probablemente tenga un certificado de 2011, que está a punto de caducar.

Según Microsoft, sus socios OEM han estado proporcionando certificados actualizados en dispositivos nuevos desde 2024. Si tiene un dispositivo relativamente nuevo, probablemente ya incluya los certificados más recientes. Las PC Copilot+ fabricadas en 2025 o posterior ya incluyen los certificados de 2023 y no necesitan una aggiornamento.

Adicionalmente: OneDrive Backup acaba de cobrar un gran cambio para mejor: cómo funciona ahora

Para ver si su PC tiene los certificados actualizados, fiordo una ventana de PowerShell con las credenciales de administrador y luego copie el próximo comando y péguelo en la ruta de comando de PowerShell:

((System.Text.Encoding)::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’)

Si la respuesta es Verdadera, estás actualizado. Si la respuesta es falsa, necesita una aggiornamento de firmware.

¿Recibiré un certificado actualizado automáticamente?

Si su PC fue diseñada y construida por un importante OEM (Lenovo, HP, Dell, ASUS, Surface) y está ejecutando una interpretación compatible de Windows, debería cobrar la aggiornamento necesaria automáticamente.

Según Microsoft, “para la mayoría de las personas y empresas que permiten a Microsoft gobernar las actualizaciones de PC, los nuevos certificados se instalarán automáticamente a través del proceso de aggiornamento mensual regular de Windows, sin escazes de ninguna bono adicional”.

Adicionalmente: Windows 11 tiene mil millones de usuarios y están furiosos

Esas actualizaciones llegarán a casi todas las PC que ejecutan Windows 11 y a las PC que ejecutan Windows 10 con una suscripción a Actualizaciones de seguridad extendidas. Es posible que necesite una aggiornamento de firmware independiente del fabricante de la PC para permitir la instalación de los certificados actualizados.

Microsoft dice que enviará mensajes sobre el estado de aggiornamento del certificado en la aplicación de seguridad de Windows.

Para computadoras especializadas, como servidores y dispositivos IoT, es posible que necesites descargar e instalar una aggiornamento del fabricante del dispositivo.

¿Qué pasa si no actualizo esos certificados?

Según Microsoft, “Cuando caduquen las CA de 2011, los dispositivos Windows que no tengan nuevos certificados 2023 ya no podrán cobrar correcciones de seguridad para los componentes previos al puesta en marcha, lo que compromete la seguridad de puesta en marcha de Windows… Sin actualizaciones, los dispositivos Windows habilitados para puesta en marcha seguro corren el aventura de no cobrar actualizaciones de seguridad ni echarse en brazos en nuevos cargadores de puesta en marcha, lo que comprometerá tanto la capacidad de servicio como la seguridad”.

Tengo una Mac. ¿Tengo que preocuparme por esto?

No.

Tengo una PC con Linux. ¿Tengo que preocuparme por esto?

Si realiza un puesta en marcha dual de Linux con Windows, Microsoft dice que actualizará los certificados en los que se basamento Linux.

Si borró Windows por completo, es posible que no obtenga las últimas actualizaciones de seguridad automáticamente. Puede comunicarse con la empresa que construyó su PC para ver si hay una aggiornamento manual o puede desactivar el puesta en marcha seguro. Párrafo de ver un aterrador candado rojo en la pantalla de inicio, todo lo demás funcionará como se esperaba.

Construí mi propia PC. ¿Dónde están mis actualizaciones?

Palabra con el fabricante de tu placa colchoneta. Es posible que haya una aggiornamento, pero dependiendo de la decrepitud de su PC, es posible que el fabricante de la placa colchoneta no la ofrezca. Puede desactivar el puesta en marcha seguro y Windows seguirá iniciándose. Si BitLocker está facultado, es posible que deba proporcionar la secreto de recuperación para aceptar a los datos de ese disco.

Adicionalmente: Cómo encontrar su secreto de recuperación de BitLocker y almacenar una copia de seguridad segura antaño de que sea demasiado tarde

¿Cuándo caducan los nuevos certificados?

Los certificados 2023 tienen fechas de vencimiento 15 primaveras luego, en 2038. La única excepción es Windows UEFI CA 2023, que expirará en junio de 2035. Lo que significa que tendremos que comenzar a realizar este danza nuevamente en aproximadamente una período.

¿Dónde puedo obtener más información o ayuda?

La página oficial de preguntas frecuentes de Microsoft está aquí: Preguntas frecuentes sobre la aggiornamento del certificado de puesta en marcha seguro. Si tiene problemas en una PC no administrada en un hogar o una pequeña oficina, consulte con el fabricante de la PC o comuníquese con Microsoft para obtener ayuda. Los administradores empresariales pueden utilizar canales de soporte comercial.