STEAM
Juego para PC
Microsoft responde preguntas clave mientras se acerca la fecha límite de Secure Boot
Con la expiración del certificado original Microsoft Secure Boot KEK el 24 de junio de 2026, Microsoft llevó a cabo su segunda sesión en vivo de “Pregúntale a Microsoft lo que sea” (AMA, por sus siglas en inglés) el 4 de junio para abordar las preocupaciones restantes de los administradores de TI y clientes empresariales. Esta sesión proporcionó perspectivas más profundas sobre las actualizaciones de Secure Boot, abordando implementaciones empresariales, compatibilidad con máquinas virtuales, escenarios de arranque PXE y más.
¿Qué cambia el 24 de junio de 2026?
La pregunta más urgente fue si el 24 de junio marca un límite estricto para el certificado Secure Boot KEK CA 2011. Según Scott Shell, la fecha de expiración no es un plazo definitivo que detenga toda funcionalidad. La expiración de la clave KEK no afecta inmediatamente el proceso de implementación manual basado en el registro ni las cargas de actualización existentes, que continuarán funcionando como antes.
Sin embargo, después del 24 de junio, Microsoft perderá la capacidad de firmar nuevas cargas útiles DBX, que son fundamentales para revocar cargadores de arranque comprometidos. Los dispositivos sin el certificado KEK actualizado podrían perder futuras revocaciones, volviéndose potencialmente menos seguros con el tiempo. Sin embargo, el certificado DB sigue siendo válido hasta octubre, lo que permite a Microsoft firmar gestores de arranque adicionales durante este período interino.
La actualización de junio amplía la cobertura de alta confianza
La actualización del Patch Tuesday de junio clasificará la gran mayoría de dispositivos principales como de alta confianza según los datos de diagnóstico de Microsoft. Kevin Sullivan aclaró que la clasificación de dispositivos va más allá de los nombres de los fabricantes y modelos para incluir la versión y la fecha del firmware. Esto significa que incluso modelos idénticos podrían clasificarse de manera diferente dependiendo de su firmware.
Para ayudar a los administradores de TI, el informe de monitoreo de Intune proporciona una vista detallada del estado de los dispositivos, incluida la clasificación de alta confianza, el estado de aplicación de actualizaciones y los dispositivos que requieren intervención manual. El informe se complementa con un script de remediación de PowerShell para mayor flexibilidad.
Abordando dispositivos “temporalmente pausados”
Algunos clientes empresariales informaron sobre dispositivos atascados en un estado de “temporalmente pausado”. Microsoft explicó que esto ocurre cuando los problemas de compatibilidad a nivel de firmware hacen que las actualizaciones sean riesgosas. En tales casos, se requiere una actualización de firmware del OEM para resolver el problema. Una vez actualizado el firmware, el dispositivo se mueve a un nuevo grupo de clasificación.
Los administradores deben usar datos en vivo de Intune o el archivo CSV de GitHub para rastrear con precisión el estado de los dispositivos, ya que los grupos pausados no se actualizan de manera retroactiva. La página de inicio de Secure Boot de Microsoft incluye enlaces a las páginas de soporte de OEM para localizar actualizaciones de firmware.
Guía para implementaciones manuales
Para los dispositivos que no están en el grupo de alta confianza, Microsoft desaconsejó esperar la clasificación automática. Los administradores deben iniciar implementaciones manuales configurando valores de registro o utilizando configuraciones de políticas de Intune. El flujo de trabajo recomendado incluye:
- Extraer el informe de monitoreo de Intune para identificar dispositivos no actualizados.
- Probar el proceso de actualización en dispositivos representativos para cada modelo o variante de firmware.
- Expandir gradualmente la implementación después de pruebas exitosas.
Microsoft enfatizó que las actualizaciones manuales contribuyen con datos de telemetría, mejorando el sistema para otras organizaciones con dispositivos similares.
Dispositivos con Secure Boot deshabilitado
Para dispositivos con Secure Boot desactivado, no se pueden aplicar actualizaciones a los certificados. Si Secure Boot se vuelve a habilitar más adelante, las discrepancias entre las bases de confianza del firmware y las firmas de los gestores de arranque pueden provocar fallos en el arranque. Recuperar de esto requiere la instalación manual del certificado de 2023 en el firmware.
Las máquinas virtuales Gen 2 de Azure con inicio seguro o confiable habilitado ya tienen establecido el certificado de 2023, mientras que las máquinas virtuales Gen 1 no son compatibles con Secure Boot.
Criterios de clasificación de alta confianza
Los dispositivos más antiguos a menudo logran una clasificación de alta confianza más rápido que los nuevos debido a que sus poblaciones más pequeñas permiten una validación estadística más rápida. Para modelos más nuevos ampliamente implementados, se espera que la actualización de junio amplíe significativamente el grupo de alta confianza.
Entornos de arranque PXE requieren gestión cuidadosa
Para entornos de arranque PXE, los dispositivos con el certificado de 2011 continuarán arrancando mientras el certificado no sea revocado en la lista DBX. Sin embargo, la transición a gestores de arranque firmados con el certificado de 2023 requiere garantizar que todos los dispositivos en el entorno confíen en el nuevo certificado. Durante la transición, se recomienda mantener medios de arranque firmados por ambos certificados.
Windows 10 y versiones anteriores del sistema operativo
El mecanismo de actualización de Secure Boot es idéntico en Windows 10 (bajo ESU), Windows 11 y versiones anteriores de servidores. Sin embargo, los dispositivos más antiguos pueden carecer de datos de telemetría, lo que hace necesarias las actualizaciones manuales.
Herramientas de diagnóstico y recursos
Los registros de eventos, particularmente el registro de eventos TPM-WMI, son fundamentales para diagnosticar problemas de Secure Boot. Los indicadores clave incluyen:
- Error 1803 por claves de plataforma no válidas o no firmadas.
- Verificación de los certificados KEK y DB para las versiones de 2023.
El recurso central de Microsoft, aka.ms/GetSecureBoot, proporciona una guía completa, scripts de diagnóstico y enlaces a firmware de OEM. Se anima a los administradores a seguir el consejo de Microsoft de “probar uno primero” para garantizar actualizaciones sin problemas.
En resumen, el despliegue gradual y las herramientas de diagnóstico de Microsoft están diseñadas para minimizar interrupciones mientras se garantiza el cumplimiento de Secure Boot. Se anima a los administradores de TI a actuar con prontitud para evitar posibles riesgos de seguridad a medida que se acerca la fecha límite de expiración del KEK.
