Microsoft、2011年発行の最後のSecure Boot証明書が10月19日に失効

Microsoftは、Windowsのブートローダーの署名に使われてきた証明書Microsoft Windows Production PCA 2011の有効期限が、2026年10月19日に終了したと改めて案内しました。これは、同社が進めているSecure Boot新証明書への移行計画における最後の主要な期日です。2011年発行のほかの2つの証明書は、すでに6月に失効しています。

コンピューターは引き続き起動し、通常どおり動作します。Windowsの定期的な更新プログラムも従来どおりインストールされます。ただし、2023年発行の証明書がないデバイスは、起動初期段階に対する新たな保護を受け取れなくなります。具体的には、ブートマネージャー、Secure Bootのデータベース、失効リストの更新のほか、起動チェーンで見つかる新しい脆弱性の修正が対象です。こうした失効リストが防ぐ脅威の一例が、2023年に発見されたブートキットのBlackLotusです。これは、すべての更新を適用済みのWindows 11環境でもSecure Bootを回避していました。

Secure BootはUEFIファームウェアの機能で、コンピューターの起動前に、ドライバーからOSまでの起動コンポーネントのデジタル署名を検証します。これまでデバイスはMicrosoftの2011年発行の証明書を信頼してきましたが、現在、同社はそれを2023年発行の証明書に置き換えています。KEK CA 2011(6月24日失効)はKEK 2K CA 2023に、UEFI CA 2011(6月27日失効)はUEFI CA 2023とOption ROM UEFI CA 2023に、Windows Production PCA 2011(10月19日失効)はWindows UEFI CA 2023に置き換えられます。

新しい証明書はWindows Updateを通じて配信され、多くの場合、ユーザーが操作する必要はありません。サポート対象のWindowsバージョンを使用していること、更新が一時停止されていないこと、Secure Bootが有効であることが条件です。機能の状態はシステム情報(msinfo32)で確認できます。4月からは、Windows 11のWindowsセキュリティにあるデバイスセキュリティのセキュアブートの項目でも、証明書の状態が表示されるようになりました。表示される可能性のあるメッセージは次のとおりです。必要な更新はすべて適用済み、古いブート信頼構成(システムが自動で更新)、既知の問題の影響あり(修正まで更新を一時停止)、ハードウェアまたはファームウェアの制限(メーカーの支援が必要)、必要な更新を受け取れない状態(期限切れの証明書を使用中)。Windows 10のコンピューターは、拡張セキュリティ更新プログラムであるESUに参加している場合にのみ証明書を受け取れます。

黄色または赤色の警告が表示された場合は、デバイスメーカーのサポートページを確認することをおすすめします。Dell、HP、Lenovo、Asus、AcerにはBIOS更新に関する専用ページがあります。インストール前にBitLockerの回復キーを保存しておくべきです。HPの4月のBIOS更新の一部で、回復画面が繰り返し表示される問題が発生したためです。問題を回避する目的でSecure Bootを無効にすることは推奨されません。後で再び有効にした際、ファームウェアが2011年発行の証明書しか信頼していないと、コンピューターが起動しなくなるおそれがあります。BIOSを工場出荷時の設定に戻す場合も、その設定に2023年発行の証明書が含まれていなければ同様のリスクがあります。さらに、Dellは2026年1月1日より前にサポート期間が終了したプラットフォーム向けのBIOS更新を提供しません。3月には、ASUS、MSI、ASRockの一部のマザーボードでも移行時に不具合が発生しました。

更新プログラムの配信は段階的に行われています。9月8日のKB5124008では、更新が成功する可能性が高いデバイスを判別するためのデータが追加され、対象が広がりました。コンピューターはハードウェアとファームウェアごとにグループ化され、類似のデバイスでインストールが成功した後に、そのグループへ自動的に証明書が配信されます。Microsoftはこのデータベースを月に2回更新しています。数か月間インターネットに接続していなかったコンピューターでも、接続が回復すれば証明書を受け取れます。

PCA 2011は起動に関係しないWindowsファイルの署名にも使われていたため、同社はWindows Production PCA 2026への切り替えを進めています。9月10日に公開されたRelease Previewチャネルのビルド26100.9539と26200.9539は、すでにこの証明書で署名されています。開発者には、アプリケーション内の検証を特定のSecure Boot証明書に結び付けないよう推奨されています。更新プログラムを1つインストールしただけで移行が完了したとは限らず、ファームウェアが複数回の再起動を必要とする場合もあります。2023年発行の証明書と新しいブートマネージャーがインストールされて初めて、デバイスは完全に更新されたと見なされます。そのため、セキュアブートの項目に表示される緑色のチェックマークを目安にしてください。