W ostatnich latach coraz częściej słyszymy o wygasających certyfikatach w systemach operacyjnych czy aplikacjach. Mało kto jednak zdaje sobie sprawę, że podobny problem może dotyczyć BIOS/UEFI, a dokładniej – zapisanych w nim certyfikatów kryptograficznych wykorzystywanych przez Secure Boot.

Dla administratorów, działów IT i firm produkcyjnych to temat, którego nie można ignorować.

BIOS vs UEFI – o czym właściwie mówimy?

Współczesne komputery nie korzystają już klasycznego BIOS-u, lecz z jego następcy – UEFI (Unified Extensible Firmware Interface). To właśnie w UEFI znajduje się mechanizm Secure Boot, który:

• weryfikuje podpisy cyfrowe bootloadera,
• sprawdza integralność systemu operacyjnego,
• blokuje uruchomienie niepodpisanego lub zmodyfikowanego kodu.

Certyfikaty używane przez Secure Boot są zapisane w firmware płyty głównej i odpowiadają za weryfikację podpisów m.in. systemów takich jak:

• Microsoft Windows 10
• Microsoft Windows 11
• Ubuntu

Dlaczego certyfikaty w UEFI wygasają?

Certyfikaty kryptograficzne mają określony czas ważności – najczęściej 10–15 lat. W kontekście UEFI oznacza to, że:

• starsze komputery mogą zawierać przestarzałe klucze,
• nowe bootloadery mogą być podpisane nowszymi certyfikatami,
• system może odmówić uruchomienia po aktualizacji.

Przykładem jest wygaszanie starszych kluczy Microsoft używanych do podpisywania bootloaderów Windows. W środowiskach korporacyjnych może to powodować problemy po aktualizacjach systemu lub przy wdrażaniu nowych obrazów.

Objawy problemu

Administrator może spotkać się z następującymi symptomami:

• komunikat „Secure Boot Violation”,
• brak możliwości uruchomienia systemu po aktualizacji,
• problemy z instalacją nowej wersji systemu,
• błędy podczas bootowania z pendrive’a.

W skrajnych przypadkach komputer może w ogóle nie uruchamiać systemu operacyjnego.

Kogo dotyczy problem?

Najczęściej:

• firm posiadających starszy sprzęt (8–12 lat),
• środowisk przemysłowych (PC przemysłowe, embedded),
• laboratoriów i instytucji z rzadko aktualizowanym firmware,
• organizacji korzystających z własnych podpisów Secure Boot.

W środowiskach enterprise problem może ujawnić się dopiero przy masowej aktualizacji Windows 10 do Windows 11.

Jak sprawdzić stan Secure Boot?

W systemie Windows:

1. msinfo32
2. Sprawdź pozycję „Stan bezpiecznego rozruchu”
3. Zweryfikuj wersję BIOS/UEFI

W środowiskach Linux można użyć:

Warto również sprawdzić dostępność aktualizacji firmware na stronie producenta płyty głównej lub laptopa (np. Dell, HP, Lenovo).

Jak rozwiązać problem?

Aktualizacja firmware (najlepsze rozwiązanie)

Producenci udostępniają aktualizacje UEFI zawierające nowe klucze i poprawki bezpieczeństwa.

Wyłączenie Secure Boot (tymczasowo)

Możliwe rozwiązanie awaryjne – jednak obniża poziom bezpieczeństwa.

Wgranie własnych kluczy (zaawansowane środowiska)

W organizacjach korzystających z własnej infrastruktury PKI można zarządzać kluczami ręcznie.

Ryzyko biznesowe

Brak aktualizacji firmware może prowadzić do:

• przestoju produkcji,
• braku możliwości wdrożenia nowych systemów,
• problemów audytowych (ISO 27001, NIS2),
• podatności na ataki typu bootkit.

Warto pamiętać, że Secure Boot jest jednym z fundamentów modelu bezpieczeństwa współczesnych systemów operacyjnych.

Podsumowanie

Kończące się certyfikaty w BIOS/UEFI to problem, który długo pozostaje niewidoczny – aż do momentu krytycznej aktualizacji. W środowiskach firmowych warto podejść do tematu proaktywnie i uwzględnić firmware w polityce zarządzania podatnościami.

Firmware to dziś nie tylko „coś, co się ładuje przed systemem”. To element łańcucha zaufania, bez którego współczesne bezpieczeństwo IT przestaje istnieć.

---

Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.

Link do formularza tutaj: https://beitadmin.pl/pomysly

Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).