如果你已經(jīng)忘記了“黑蓮花病毒”是怎么回事，我們快速回顧一下。BlackLotus UEFI Bootkit（編號CVE-2023-24932）是一種能夠在UEFI環(huán)境下執(zhí)行的惡意程序，它可以繞過Windows的安全啟動（Secure Boot）保護，在系統(tǒng)啟動早期加載惡意代碼，極難被檢測和清除。

為了修復這個漏洞，微軟從2023年5月開始推出了階段性補丁，并且由于修復措施會刷新UEFI固件、拉黑舊版Windows啟動管理器，導致2023年5月9日之前的ISO鏡像、U盤啟動器、WinPE等都可能無法啟動，因此微軟給了用戶很長的過渡期。

最初微軟計劃分為三個階段，后來調(diào)整為五個階段：

• ①第一階段（2023.5.9）：發(fā)布KB5025885，將病毒和舊版啟動管理器加入黑名單DBX，但需要手動啟用。
• ②第二階段（2023.7.11）：新增WinRE支持，簡化手動啟用命令。
• ③第三階段（2024.4.9后）：吊銷舊證書“Windows Production PCA 2011”，改用新證書“Windows UEFI CA 2023”簽名啟動管理器。
• ④第四階段（2024.7.9后）：鼓勵客戶主動部署緩解措施，并提醒舊證書即將過期。
• ⑤第五階段：強制執(zhí)行！

今天是我寫的本系列的第5篇文章，意味著第五階段的到來~

最近，在“設置-Windows安全中心-設備安全性”中新增了安全啟動檢查。

使用三種顏色作為快速指示：

• ??綠色勾選：安全啟動基本沒問題，但表象之下還有更復雜的情況。
• ??黃色感嘆號（警告）：安全啟動正在運行，但最新的證書（CA-2023）尚未啟用或使用。
• ??紅色X（停止標志，錯誤/問題）：設備無法接收必要的更新來保障Windows啟動過程的安全

為什么Windows安全現(xiàn)在檢查安全啟動？

BlackLotus已曝光3年，最近，由于一個不可忽視的“硬期限”到來，微軟終于加速了進程——安全啟動的舊證書要過期了。這個硬期限是啥？

證書15年大限已到：安全啟動功能隨Windows 8在2012年引入，其使用的證書最早于2011年頒發(fā)。按照證書15年的有效期，這批舊證書將在2026年到期。一旦過期，依賴舊證書簽名的啟動管理器、驅(qū)動程序等將無法通過安全啟動驗證，可能導致大量系統(tǒng)無法正常引導。

微軟新增了這個條目，需要一個用戶可見的方式來顯示設備是否已收到更新的2023證書。直到現(xiàn)在，除非用戶深入UEFI或使用PowerShell，否則安全啟動狀態(tài)是看不到的。

不過即便是“綠色勾選”的提示信息，也不是完全相同的，官網(wǎng)給了以下幾種提示：

微軟表示，從2026年5月開始，還將推出更多類似安全啟動警告的系統(tǒng)級通知，進一步提醒用戶完成必要的證書更新。屆時，如果你尚未安裝新證書，系統(tǒng)可能會通過彈窗或通知中心進行提醒。

核心提示：一旦安裝了該更新，舊版本的鏡像（bootmgfw.efi文件使用PCA2011簽名證書）將徹底無法使用，新版鏡像中的bootmgfw.efi文件均使用了PCA2023數(shù)字簽名。

如果你只是一個普通Windows用戶，不想深究技術細節(jié)，記住一句話即可：保持系統(tǒng)自動更新開啟，微軟會幫你搞定。

官方地址：https://support.microsoft.com/en-us/topic/secure-boot-certificate-update-status-in-the-windows-security-app-5ce39986-7dd2-4852-8c21-ef30dd04f046

最新評論