Secure Boot soll verhindern, dass Schadsoftware bereits früh im Bootvorgang startet. Dafür nutzt der UEFI-Firmware-Signierprozess kryptografische Schlüssel, mit denen Systeme prüfen, ob Bootloader, Firmware-Komponenten und weitere frühe Startmodule aus vertrauenswürdigen Quellen stammen. Die betroffenen Zertifikate umfassen unter anderem die Microsoft KEK CA 2011, die Microsoft UEFI CA 2011 und die Microsoft Windows Production PCA 2011.

Systeme mit den alten Zertifikaten bleiben nach deren Ablauf zunächst betriebsfähig. Sie erhalten jedoch keine neuen Secure-Boot-bezogenen Schutzmechanismen mehr, etwa in Form künftiger Zertifikate, Sperrlisten oder Shim-Updates. Ohne rechtzeitige Aktualisierung drohen damit vor allem Probleme bei späteren Bootloader-, Firmware- und Sicherheitsupdates.

Administratoren sollten Secure-Boot-fähige Systeme daher frühzeitig inventarisieren, Firmwarestände prüfen und die neuen 2023er Zertifikate ausrollen. Während Clients den Prozess teilweise automatisiert durchlaufen, verlangen Server und viele virtuelle Maschinen gezielte Kontrolle. In einem aktuellen Supportbeitrag zu Linux-VMs auf Azure weist Microsoft zudem auf besondere Risiken bei älteren Trusted-Launch-VMs, Gallery-Images, Snapshots und Backups hin.

Wie Administratoren bei Windows-Servern und -Clients vorgehen, zeigt unser Workshop im Detail. Für die Migration hat Microsoft zudem ein Skriptpaket sowie eine Anleitung bereitgestellt, die die flächendeckende Aktualisierung von Secure-Boot-Zertifikaten in Windows-Umgebungen automatisieren sollen.