Microsoft ha confirmado que las actualizaciones del certificado de arranque seguro fallan o están bloqueadas en algunas PC con Windows 11, y la compañía dice que está trabajando con los fabricantes de PC en un parche, pero es posible que aún deba tomar medidas si el certificado está bloqueado por otros motivos.
en un Documentos de soporte actualizados Como lo descubrió por primera vez Windows Latest, Microsoft dijo que detuvo la implementación del arranque seguro para algunas PC debido a posibles problemas conocidos. Si su dispositivo se ve afectado, verá un mensaje de error detallado en la aplicación de seguridad de Windows.
“Este grupo de dispositivos se ve afectado por un problema conocido. Para mitigar el riesgo, las actualizaciones del certificado de arranque seguro se suspenden temporalmente mientras Microsoft y sus socios trabajan para encontrar una solución compatible”, señaló Microsoft.
Como sabrá, los certificados de arranque seguro emitidos en 2011 o antes ya han caducado y Microsoft está intentando reemplazarlos con un nuevo certificado emitido en 2023.
La compañía dice que todas las PC “elegibles” comenzarán a usar automáticamente certificados compatibles a través de Windows Update, pero ese no es el caso para todas las PC, incluidas algunas máquinas supuestamente elegibles.
No estoy realmente sorprendido, ya que el veterano periodista de Windows Latest, Ed, ha observado que las PC con Windows, especialmente las más antiguas, tienen un problema de firmware y muchas no están listas para el Día D, que ya pasó. O los OEM no ofrecen el firmware necesario para implementar Secure Boot 2023 o los usuarios han desactivado por error el Secure Boot para instalar Windows 11.
Microsoft confirma que algunas PC no pueden obtener el nuevo certificado de arranque seguro
Le he estado haciendo preguntas difíciles a Microsoft sobre los certificados de arranque seguro y, hasta ahora, la forma en que el gigante de Windows ha manejado la situación ha sido bastante impresionante. Todo el hardware moderno ya utiliza el certificado de arranque seguro emitido en 2023, y aquellos que no desactivan involuntariamente el arranque seguro ni utilizan firmware defectuoso.
Puede verificar que el Arranque seguro esté habilitado y completamente actualizado abriendo Seguridad de Windows > Seguridad del dispositivo > Arranque seguro.
Si dice que el arranque seguro está activado y se aplica el certificado, no tiene que preocuparse por nada. Pero en algunos casos, sólo dice que el arranque seguro está activado y no hay ninguna indicación clara sobre el certificado.
Microsoft dijo que trabajó con fabricantes de PC e identificó un conjunto de dispositivos o firmware donde las actualizaciones del Certificado de arranque seguro pueden causar problemas. Si se ven afectados, los dispositivos necesitan una nueva actualización de firmware, pero como aún no está disponible, Microsoft ha bloqueado las actualizaciones del certificado de arranque seguro para reducir el riesgo.
“Los dispositivos de este grupo se ven afectados por un problema conocido”, advierte Microsoft, sin compartir ejemplos de PC afectadas
“Para mitigar el riesgo, las actualizaciones del certificado de arranque seguro se suspenden temporalmente mientras Microsoft y sus socios trabajan para encontrar una solución compatible. Comuníquese con el fabricante de su dispositivo para obtener ayuda”.
Esta nueva advertencia comenzó a implementarse recientemente, por lo que si ve que el Arranque seguro está activado, pero no hay información clara sobre el certificado instalado, debe verificar la aplicación de Seguridad nuevamente.
“Se requiere una actualización de firmware, pero es posible que aún no esté disponible. Cuando esté disponible, la actualización de firmware se publicará e instalará a través de los canales de actualización estándar de su OEM”, explicó Microsoft.
Hay otra advertencia en la que Windows informa el estado de Arranque seguro, pero también indica que el dispositivo no recibirá una actualización del certificado de Arranque seguro debido a limitaciones de hardware o firmware.
En el caso anterior, si su dispositivo tiene algunos años y no es una de las unidades más vendidas del OEM, no espere una actualización. Los OEM rara vez lanzan actualizaciones de firmware para PC más antiguas y, cuando el firmware UEFI no es compatible, Microsoft no lanzará actualizaciones de certificación Secure Boot 2023 para su PC.
“Es posible que el OEM ya no admita el modelo de su PC, o que el OEM no pueda proporcionar las actualizaciones de firmware necesarias para actualizar la configuración Secure Boot Trust de su dispositivo”, advirtió Microsoft.
¿Por qué algunas PC todavía no obtienen Secure Boot 2023?
Microsoft le dijo a Windows Latest que la mayoría de las PC ya tienen certificados de arranque seguro y se instalan automáticamente a través de Windows Update.
En algunos casos, Windows Update detecta posibles problemas de compatibilidad, por lo que nunca le envía la actualización Secure Boot 2023. En otros casos, la actualización de Secure Boot se bloquea debido a que el firmware está desactualizado.
“Muchos OEM están lanzando activamente estas actualizaciones de firmware a través de sus canales de actualización estándar. Si se requiere una actualización de firmware, visite la página de soporte de arranque seguro de su OEM para conocer los próximos pasos”, señaló Microsoft, y se alinea con nuestros hallazgos anteriores.
Windows Latest descubrió anteriormente que los OEM han actualizado silenciosamente su documentación de arranque seguro para reconocer el problema de arranque seguro y la falta de actualizaciones de firmware necesarias para realizar los cambios de seguridad necesarios.
Por qué es necesario Secure Boot 2023, pero no es un factor decisivo
Para aquellos que no lo saben, el arranque seguro es una función de seguridad integrada en el firmware UEFI de su computadora y requerida oficialmente por Windows 11 a menos que la omita. Cuando el arranque seguro está activado y los certificados están actualizados, Windows bloquea la ejecución de software no autorizado o ilegal y posible malware en el nivel de arranque.
Los certificados Secure Boot 2011 y 2023 más recientes se utilizan para procesar y verificar las actualizaciones de Secure Boot DBX, también conocida como base de datos de firmas prohibidas. Sin un certificado actualizado, una PC no puede recibir de forma segura nuevas listas para bloquear cargadores de arranque comprometidos o vulnerables.
Como informamos anteriormente, un certificado de arranque seguro caducado no significa que su PC dejará de arrancar o funcionar. De hecho, es casi imposible para un consumidor ocasional notar alguna diferencia, pero eso no significa que la actualización del certificado Secure Boot 2023 no sea importante.
Al fin y al cabo, el arranque seguro es un “proceso de verificación de la cadena de arranque basado en firmware” y requiere certificados actualizados para garantizar que las PC ejecuten sólo software verificado.
¿Qué sucede si el certificado de arranque seguro no se actualiza?
Microsoft insiste en que no debe desactivar el arranque seguro si no recibe actualizaciones, ya que esto empeorará la seguridad de Windows sin credenciales actualizadas. Si no tiene Secure Boot 2023, no hay nada que pueda hacer excepto preguntarle a su OEM.
Como mencioné anteriormente, esto no es un desastre inmediato para la mayoría de los consumidores. Su PC seguirá arrancando, las actualizaciones de Windows se seguirán instalando y las tareas diarias permanecerán sin cambios. El problema es la protección a largo plazo, especialmente contra cargadores de arranque vulnerables o maliciosos recién descubiertos.
| ¿Qué funciona sin Secure Boot 2023? | No funciona excepto Secure Boot 2023 |
|---|---|
| El dispositivo se inicia normalmente. | Las nuevas protecciones Secure Boot y Boot Manager no se pueden aplicar. |
| Continúe instalando actualizaciones de calidad y funciones de Windows, incluidas las actualizaciones de seguridad mensuales. | Es posible que no se instalen los componentes de seguridad relacionados con el arranque que requieren certificados actualizados |
| Las tareas diarias, incluidas aplicaciones, redes y navegación, permanecen sin cambios. | Los cargadores de arranque vulnerables o maliciosos recién descubiertos no se pueden bloquear. |
| El arranque seguro permanece activo y continúa protegiendo contra amenazas conocidas anteriormente. | Es posible que algunos componentes que no son de Microsoft y que dependen de Microsoft Secure Boot Trust no se actualicen si requieren nuevas entradas de certificado. |
| El dispositivo no está expuesto a riesgos inmediatos ni a fallos del sistema. | La protección de seguridad a largo plazo puede quedarse gradualmente atrás de los dispositivos completamente actualizados |
