安全引导证书链结构

IT主页注：Microsoft于2024年2月开始推出新的2023 Secure Start Center证书委员会（CA）密钥，以取代2011 Windows 8时代创建的旧键。

Windows 8中引入的安全引导使用基于UEFI证书的信任层次结构，确保仅在系统启动时执行授权软件。

平台密钥（PK）位于该链的顶部，通常由OEM或授权代表管理，并作为信任的基础。 PK授权更新密钥注册密钥（KEK）数据库，该数据库又授权更新两个密钥签名数据库：允许签名数据库（DB）和禁用签名数据库（DBX）。

受Windows系统影响的证书

微软在Technet文章中发布了一份表格，列出了即将到期的证书。本文讨论了两个证书：Microsoft Corporation Kek CA 2011和Microsoft Corporation uefi CA 2011（或第三方提供商的UEFI证书，例如Linux Systems的证书），这两者都将于2026年6月到期。

这些过期的证书将被新的Microsoft Corporation Kek 2K CA 2023和Microsoft Corporation CA 2023/Microsoft Option ROM UEFI CA 2023证书所取代。

哪些系统受到影响？

受影响的系统包括运行Windows 10，Windows 11，Windows Server 2025，Windows Server 2022，Windows Server 2019，Windows Server 2016，Windows Server 2016，Windows Server 2012和Windows Server 2012 R2的物理和虚拟机（VM）（VMS）。

这些系统自2012年以来已发布，不受影响的系统包括不使用安全启动来保护Windows-Boot的系统，以及具有Copilot+PC的新系统于2025年发布。

证书的到期意味着什么？

证书过期后，上一条消息指出该系统将无法启动Windows。但是，这不会发生。如果启用了安全启动，系统将继续支持Windows的启动。

但是，更大的问题是，一旦这些CAS到期，系统将无法接收Windows Boot Manager的安全更新和安全启动组件。

依靠安全引导的系统，无论是物理设备还是虚拟机，都将失去2026年6月以后安装安全引导安全更新的能力。