Secure Boot e o novo certificado, em que isso me afetará?

Blumer Celta · 1 de julho

Boa tarde.

Recentemente andei vendo alguns vídeos alarmantes sobre um tal certificado EFI da Microsoft,

que vai expirar e com isso as máquinas que não tiverem o tal "secureboot" habilitado e devidamente atualizado não poderão mais dar boot.

Aqui no trabalho temos máquinas mais antigas que não precisam de atualizações da Microsoft.

(são todas máquinas operadas por adultos conscientes que não baixam vírus, até porque nossas máquinas nem precisam de internet para os trabalhos que exercem)

Mesmo que um vírus infectasse, estas máquinas não lidam com arquivos sensíveis... são máquinas apenas de trabalho mesmo (há anos funcionam bem deste modo).

Estas máquinas nem devem ter este tal secureboot, e as atualizações (que pra nós são desnecessárias), só vão deixar lentas as máquinas que funcionam perfeitamente bem.

Mas dizem que quando expirar esta data nem pendrive o PC vai deixar fazer, a máquina nem vai conseguir dar boot etc...

Então se eu precisar formatar alguma máquina destas depois desta data não conseguirei? nem com pendrives antigos que já tem o boot do Windows instalado?

Se por acaso remover todos os certificados de uma placa-mãe (que os tenha configurados na BIOS), e desabilitar o tal secureboot, não conseguirei mais instalar o Win10 nela?

E os Linux da vida estão fora destas questões? vão funcionar normalmente depois desta data?

Obrigado.

FoxBlack · 1 de julho

Viu a informação apenas em "vídeos alarmantes" ou terias também algum site de renome no setor de tecnologia que cita algo relativo ?

Blumer Celta · 1 de julho

Vi somente nos vídeos, mas o link citado nos vídeos é este da Microsoft:

https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

FoxBlack · 1 de julho

Ok! Não chega a ser um fato tão alarmante. O processo de atualização desses certificados é feito de forma automática.

É necessário que o Secure Boot esteja habilitado.

Importante manter o BIOS atualizado.

manter o Windows atualizado (Windows Update)

* A Microsoft incorporará os novos certificados nas atualizações cumulativas.

Gabriel U · 1 de julho

3 horas atrás, Blumer Celta disse:

(1) Então se eu precisar formatar alguma máquina destas depois desta data não conseguirei? nem com pendrives antigos que já tem o boot do Windows instalado?

(2) Se por acaso remover todos os certificados de uma placa-mãe (que os tenha configurados na BIOS), e desabilitar o tal secureboot, não conseguirei mais instalar o Win10 nela?

(3) E os Linux da vida estão fora destas questões? Vão funcionar normalmente depois desta data?

Obrigado...

Boa tarde a todos no tópico.

Alguns esclarecimentos são importantes aqui:

A. A expiração do certificado de Secure Boot Microsoft PCA 2011 está programada para Outubro de 2026.
Usuários e fabricantes devem atualizar seus certificados de segurança para o novo Microsoft UEFI CA 2023 antes dessa data. Caso contrário, deixarão de receber correções importantes de segurança, e ainda, as imagens de sistema que já possuírem o novo requisito implementado não poderão ser instaladas nas máquinas desatualizadas após a data de expiração do PCA 2011.
Fonte: https://support.microsoft.com/pt-br/topic/orientações-de-implementação-empresarial-para-cve-2023-24932-88b8f034-20b7-4a45-80cb-c6049b0f9967#:~:text=Uma vez que o certificado,o num estado de segurança

B. O novo certificado existe para corrigir uma falha de segurança crítica do Windows no recurso de Inicialização Segura: CVE-2023-24932.

Em resumo, a falha permite que um invasor, com privilégios administrativos, implemente rotinas de inicialização que simplesmente ignorem o Secure Boot da máquina. A correção é feita por implantação de novo certificado (já que infecta as credenciais de segurança), porém, o componente de sistema que permite a implantação não está ativado por padrão, logo, a Microsoft alterará as imagens de sistema para mudar isso.

Blumer Celta · 1 de julho

28 minutos atrás, FoxBlack disse:

Importante manter o BIOS atualizado.

Perfeito, minha dúvida é se o PC não tivesse isso na BIOS (por exemplo vi gente comentando que tentou habilitar na BIOS e a opção está cinza, ou seja não deixa mudar)...

10 minutos atrás, Gabriel U disse:

A. A expiração do certificado de Secure Boot Microsoft PCA 2011 está programada para Outubro de 2026.
Usuários e fabricantes devem atualizar seus certificados de segurança para o novo Microsoft UEFI CA 2023 antes dessa data. Caso contrário, deixarão de receber correções importantes de segurança, e ainda, as imagens de sistema que já possuírem o novo requisito implementado não poderão ser instaladas nas máquinas desatualizadas após a data de expiração do PCA 2011.
Fonte: https://support.microsoft.com/pt-br/topic/orientações-de-implementação-empresarial-para-cve-2023-24932-88b8f034-20b7-4a45-80cb-c6049b0f9967#:~:text=Uma vez que o certificado,o num estado de segurança

B. O novo certificado existe para corrigir uma falha de segurança crítica do Windows no recurso de Inicialização Segura: CVE-2023-24932.

Em resumo, a falha permite que um invasor, com privilégios administrativos, implemente rotinas de inicialização que simplesmente ignorem o Secure Boot da máquina. A correção é feita por implantação de novo certificado (já que infecta as credenciais de segurança), porém, o componente de sistema que permite a implantação não está ativado por padrão, logo, a Microsoft alterará as imagens de sistema para mudar isso.

Valeu pelas dicas pessoal, acho que consegui entender.

Gabriel U · 1 de julho

3 horas atrás, Blumer Celta disse:

Então se eu precisar formatar alguma máquina destas depois desta data não conseguirei? nem com pendrives antigos que já tem o boot do Windows instalado?

Se por acaso remover todos os certificados de uma placa-mãe (que os tenha configurados na BIOS), e desabilitar o tal secureboot, não conseguirei mais instalar o Win10 nela?

E os Linux da vida estão fora destas questões? vão funcionar normalmente depois desta data?

Obrigado.

Respondendo diretamente às perguntas, em sequência:
1. Sim, você conseguirá formatar, desde que a imagem ISO do Windows não tenha o requisito de certificado já instalado (seja uma imagem mais antiga);
2. Se a imagem ISO for uma de agora, por exemplo, e desde que a BIOS não seja atualizada com os novos certificados, não haverá problemas.

3. O requisito vale apenas para Windows, por enquanto.

Blumer Celta · 1 de julho

25 minutos atrás, Gabriel U disse:

Respondendo diretamente às perguntas, em sequência:
1. Sim, você conseguirá formatar, desde que a imagem ISO do Windows não tenha o requisito de certificado já instalado (seja uma imagem mais antiga);
2. Se a imagem ISO for uma de agora, por exemplo, e desde que a BIOS não seja atualizada com os novos certificados, não haverá problemas.

3. O requisito vale apenas para Windows, por enquanto.

Muito obrigado.