Immagina un server che funziona benissimo da sei anni, in un armadio di una sede periferica. A luglio continuerà a funzionare allo stesso modo, ed è proprio questo il problema: nessuno si accorgerà che ha smesso di poter ricevere un’intera categoria di aggiornamenti di sicurezza.
I certificati che Microsoft ha emesso nel 2011 per Secure Boot stanno per scadere, e vengono sostituiti da una nuova serie del 2023. Sulla maggior parte dei dispositivi il cambio arriva da solo, ma su alcuni servono interventi sul firmware. Le date sono tre:
- 24 giugno 2026: Microsoft Corporation KEK CA 2011, che firma gli aggiornamenti dei database di Secure Boot, sostituito da KEK 2K CA 2023;
- 27 giugno 2026: Microsoft UEFI CA 2011, che firma bootloader e applicazioni EFI di terze parti, comprese le option ROM, sostituito da UEFI CA 2023 e Option ROM UEFI CA 2023;
- 19 ottobre 2026: Windows Production PCA 2011, che firma il boot loader di Windows, sostituito da Windows UEFI CA 2023.
Nessuno schermo nero, ed è peggio
Il giorno della scadenza i dispositivi non smettono di avviarsi. Senza i nuovi certificati, però, non potranno più ricevere aggiornamenti di sicurezza per i componenti di avvio, né le liste di revoca usate contro i bootkit. Col tempo, anche bootloader e componenti firmati solo con i certificati 2023 potrebbero essere rifiutati. Un guasto rumoroso si nota subito, uno silenzioso resta lì per anni.
La questione non riguarda solo Windows. Molte distribuzioni Linux si avviano con Secure Boot attivo tramite uno shim firmato dalla UEFI CA di Microsoft, quindi anche lì conta che il firmware abbia i nuovi certificati. Lo stesso vale per le macchine virtuali con firmware UEFI, per cui hypervisor e piattaforme cloud hanno pubblicato indicazioni specifiche.
Comincia da un inventario di PC, server e macchine virtuali con Secure Boot attivo, e verifica che ricevano regolarmente gli aggiornamenti cumulativi di Windows, che distribuiscono i nuovi certificati. Per il firmware segui le indicazioni del produttore dei tuoi modelli: alcuni vogliono un aggiornamento del BIOS o UEFI prima di accettarli.
Prova la procedura su pochi dispositivi rappresentativi e tieni a portata di mano le chiavi di ripristino BitLocker, perché le modifiche al firmware possono richiederle. E quel server nell’armadio della sede periferica? Mettilo in cima alla lista.
