Microsoft: il 19 ottobre è scaduto l’ultimo certificato Secure Boot del 2011
Microsoft ha ricordato che il 19 ottobre 2026 è scaduto il certificato Microsoft Windows Production PCA 2011, utilizzato per firmare il boot loader di Windows. Si tratta dell’ultima data chiave del piano con cui l’azienda sta passando ai nuovi certificati Secure Boot. Gli altri due certificati del 2011 erano già scaduti a giugno.
I computer continueranno ad avviarsi e a funzionare normalmente, e i consueti aggiornamenti di Windows verranno installati come sempre. I dispositivi privi dei certificati del 2023 non potranno però ricevere nuove protezioni per le prime fasi dell’avvio. Si tratta degli aggiornamenti del boot manager, dei database di Secure Boot e degli elenchi di revoca, oltre alle correzioni per le nuove vulnerabilità nella catena di avvio. Un esempio di minaccia contro cui servono tali elenchi è il bootkit BlackLotus, scoperto nel 2023, che aggirava Secure Boot anche sui sistemi Windows 11 completamente aggiornati.
Secure Boot è una funzione del firmware UEFI che, prima dell’avvio del computer, verifica le firme digitali dei componenti di boot, dai driver al sistema operativo. In passato i dispositivi si fidavano dei certificati Microsoft del 2011, mentre ora l’azienda li sostituisce con quelli del 2023. Il certificato KEK CA 2011 (scaduto il 24 giugno) è sostituito da KEK 2K CA 2023. Il certificato UEFI CA 2011 (scaduto il 27 giugno) è sostituito da UEFI CA 2023 e Option ROM UEFI CA 2023. Il certificato Windows Production PCA 2011 (scaduto il 19 ottobre) è sostituito da Windows UEFI CA 2023.
I nuovi certificati arrivano tramite Windows Update e in molti casi l’utente non deve fare nulla. Servono una versione supportata del sistema, aggiornamenti non sospesi e Secure Boot attivo. Lo stato della funzione è visibile nell’app Informazioni di sistema (msinfo32). Da aprile Windows 11 mostra lo stato dei certificati anche in Sicurezza di Windows, nella pagina Sicurezza dispositivi, alla voce Avvio protetto. I messaggi possibili sono: tutti gli aggiornamenti applicati, configurazione di attendibilità dell’avvio obsoleta (il sistema la aggiornerà da solo), interessato da un problema noto (aggiornamento sospeso fino alla correzione), limitazioni dell’hardware o del firmware (serve l’aiuto del produttore), impossibile ricevere gli aggiornamenti (viene usato un certificato scaduto). I computer con Windows 10 ricevono i certificati solo se aderiscono al programma ESU degli aggiornamenti di sicurezza estesi.
In caso di avviso giallo o rosso, conviene consultare la pagina di supporto del produttore del dispositivo: Dell, HP, Lenovo, Asus e Acer hanno sezioni dedicate agli aggiornamenti del BIOS. Prima dell’installazione è opportuno salvare la chiave di ripristino di BitLocker, perché alcuni aggiornamenti del BIOS di HP di aprile hanno causato cicli continui di ripristino. Disattivare Secure Boot per aggirare il problema non è raccomandato. Se in seguito si riattiva la funzione e il firmware si fida solo del certificato del 2011, il computer potrebbe non avviarsi più. Un rischio analogo comporta il ripristino del BIOS alle impostazioni di fabbrica se queste non contengono i certificati del 2023. Inoltre Dell non rilascerà aggiornamenti del BIOS per le piattaforme la cui assistenza è terminata prima del 1° gennaio 2026. A marzo si erano verificati problemi con il passaggio anche su alcune schede ASUS, MSI e ASRock.
La distribuzione dell’aggiornamento avviene per fasi. Il pacchetto KB5124008 dell’8 settembre ha aggiunto dati per individuare i dispositivi su cui l’aggiornamento ha un’alta probabilità di riuscire, ampliando così la copertura. I computer sono raggruppati per hardware e firmware, e un gruppo riceve i certificati in automatico solo dopo un’installazione riuscita su dispositivi simili. Microsoft aggiorna questo database due volte al mese. Anche un computer rimasto offline per diversi mesi riceverà i certificati una volta ripristinata la connessione.
Il certificato PCA 2011 veniva usato anche per firmare file di Windows non legati all’avvio, per questo l’azienda sta passando a Windows Production PCA 2026. Le build Release Preview 26100.9539 e 26200.9539, rilasciate il 10 settembre, sono già firmate con questo certificato. Agli sviluppatori si consiglia di non vincolare i controlli delle proprie applicazioni a specifici certificati Secure Boot. Un solo aggiornamento installato non significa che il passaggio sia concluso: il firmware potrebbe richiedere più riavvii. Il dispositivo è considerato completamente aggiornato dopo l’installazione dei certificati del 2023 e del nuovo boot manager, quindi bisogna fare riferimento al segno di spunta verde nella sezione dell’avvio protetto.