如果你已經(jīng)忘記了“黑蓮花病毒”是怎么回事，我們快速回顧一下。BlackLotus UEFI Bootkit（編號(hào)CVE-2023-24932）是一種能夠在UEFI環(huán)境下執(zhí)行的惡意程序，它可以繞過(guò)Windows的安全啟動(dòng)（Secure Boot）保護(hù)，在系統(tǒng)啟動(dòng)早期加載惡意代碼，極難被檢測(cè)和清除。

為了修復(fù)這個(gè)漏洞，微軟從2023年5月開(kāi)始推出了階段性補(bǔ)丁，并且由于修復(fù)措施會(huì)刷新UEFI固件、拉黑舊版Windows啟動(dòng)管理器，導(dǎo)致2023年5月9日之前的ISO鏡像、U盤(pán)啟動(dòng)器、WinPE等都可能無(wú)法啟動(dòng)，因此微軟給了用戶(hù)很長(zhǎng)的過(guò)渡期。

最初微軟計(jì)劃分為三個(gè)階段，后來(lái)調(diào)整為五個(gè)階段：

• ①第一階段（2023.5.9）：發(fā)布KB5025885，將病毒和舊版啟動(dòng)管理器加入黑名單DBX，但需要手動(dòng)啟用。
• ②第二階段（2023.7.11）：新增WinRE支持，簡(jiǎn)化手動(dòng)啟用命令。
• ③第三階段（2024.4.9后）：吊銷(xiāo)舊證書(shū)“Windows Production PCA 2011”，改用新證書(shū)“Windows UEFI CA 2023”簽名啟動(dòng)管理器。
• ④第四階段（2024.7.9后）：鼓勵(lì)客戶(hù)主動(dòng)部署緩解措施，并提醒舊證書(shū)即將過(guò)期。
• ⑤第五階段：強(qiáng)制執(zhí)行！

今天是我寫(xiě)的本系列的第5篇文章，意味著第五階段的到來(lái)~

最近，在“設(shè)置-Windows安全中心-設(shè)備安全性”中新增了安全啟動(dòng)檢查。

使用三種顏色作為快速指示：

• ??綠色勾選：安全啟動(dòng)基本沒(méi)問(wèn)題，但表象之下還有更復(fù)雜的情況。
• ??黃色感嘆號(hào)（警告）：安全啟動(dòng)正在運(yùn)行，但最新的證書(shū)（CA-2023）尚未啟用或使用。
• ??紅色X（停止標(biāo)志，錯(cuò)誤/問(wèn)題）：設(shè)備無(wú)法接收必要的更新來(lái)保障Windows啟動(dòng)過(guò)程的安全

為什么Windows安全現(xiàn)在檢查安全啟動(dòng)？

BlackLotus已曝光3年，最近，由于一個(gè)不可忽視的“硬期限”到來(lái)，微軟終于加速了進(jìn)程——安全啟動(dòng)的舊證書(shū)要過(guò)期了。這個(gè)硬期限是啥？

證書(shū)15年大限已到：安全啟動(dòng)功能隨Windows 8在2012年引入，其使用的證書(shū)最早于2011年頒發(fā)。按照證書(shū)15年的有效期，這批舊證書(shū)將在2026年到期。一旦過(guò)期，依賴(lài)舊證書(shū)簽名的啟動(dòng)管理器、驅(qū)動(dòng)程序等將無(wú)法通過(guò)安全啟動(dòng)驗(yàn)證，可能導(dǎo)致大量系統(tǒng)無(wú)法正常引導(dǎo)。

微軟新增了這個(gè)條目，需要一個(gè)用戶(hù)可見(jiàn)的方式來(lái)顯示設(shè)備是否已收到更新的2023證書(shū)。直到現(xiàn)在，除非用戶(hù)深入U(xiǎn)EFI或使用PowerShell，否則安全啟動(dòng)狀態(tài)是看不到的。

不過(guò)即便是“綠色勾選”的提示信息，也不是完全相同的，官網(wǎng)給了以下幾種提示：

微軟表示，從2026年5月開(kāi)始，還將推出更多類(lèi)似安全啟動(dòng)警告的系統(tǒng)級(jí)通知，進(jìn)一步提醒用戶(hù)完成必要的證書(shū)更新。屆時(shí)，如果你尚未安裝新證書(shū)，系統(tǒng)可能會(huì)通過(guò)彈窗或通知中心進(jìn)行提醒。

核心提示：一旦安裝了該更新，舊版本的鏡像（bootmgfw.efi文件使用PCA2011簽名證書(shū)）將徹底無(wú)法使用，新版鏡像中的bootmgfw.efi文件均使用了PCA2023數(shù)字簽名。

如果你只是一個(gè)普通Windows用戶(hù)，不想深究技術(shù)細(xì)節(jié)，記住一句話(huà)即可：保持系統(tǒng)自動(dòng)更新開(kāi)啟，微軟會(huì)幫你搞定。

官方地址：https://support.microsoft.com/en-us/topic/secure-boot-certificate-update-status-in-the-windows-security-app-5ce39986-7dd2-4852-8c21-ef30dd04f046

最新評(píng)論