Quien todavía no haya recibido la actualización del certificado de Arranque Seguro de Microsoft no tiene por qué inquietarse, porque aún queda margen. Durante los últimos meses hemos venido recordando que el pasado mes de junio marcaba la fecha límite para que los equipos con Windows renovaran este certificado, ese que protege el ordenador antes incluso de que arranque el propio sistema operativo. Y sí, muchos usuarios se han puesto nerviosos al ver que su equipo seguía sin actualizar.
Hablamos de un certificado que lleva funcionando desde el año 2011, así que ya tocaba renovarlo. En condiciones normales se ocupa de todo la propia Microsoft, de forma automática. El problema es que ahora mismo hay muchísimos equipos que todavía no han recibido este importante certificado de seguridad, y de ahí la preocupación.
La compañía ha querido calmar los ánimos entre los usuarios de Windows 11 y Windows 10 que aún no han visto llegar las nuevas firmas. Su mensaje es claro. Esos equipos seguirán arrancando con toda normalidad, y la actualización de los certificados llegará a través de Windows Update en los próximos meses. Que falten las firmas nuevas no significa que el servicio se corte de golpe.
La confirmación aparece junto a las notas de la KB5101650, la actualización correspondiente al mes de julio. Ahí Microsoft explica que los ordenadores sin las firmas actualizadas seguirán arrancando e instalando actualizaciones sin problemas, mientras se van repartiendo poco a poco los certificados de 2023.
Link affiliatoLos certificados de 2011 caducan por fases, pero el equipo sigue encendiendo
Conviene entender de qué va todo esto. El Arranque Seguro es la función del firmware UEFI que comprueba la firma digital de cada componente antes de cargar el sistema operativo. Su papel es cerrarle la puerta a rootkits y bootkits, esos programas maliciosos que intentan colarse antes que Windows. Y para funcionar necesita certificados criptográficos. Los que están activos desde Windows 8, emitidos en 2011, acumulan ya quince años de servicio. Demasiado tiempo, según la propia compañía.
El riesgo real es otro. Un equipo que se queda atascado con la clave KEK de 2011 solo puede recibir listas de revocación DBX firmadas con esa misma clave. Y aquí está el detalle. Microsoft perdió la capacidad de firmar con ella el 24 de junio. Esa lista es la que bloquea los bootloaders comprometidos, justo el tipo de amenaza que aprovechó en su día BlackLotus, el bootkit UEFI descubierto en 2023 que consiguió saltarse el Arranque Seguro incluso en equipos Windows 11 ya parcheados.
Los certificados de 2023 vienen a sustituir a los tres anteriores con estándares criptográficos actuales, y permiten que las revocaciones sigan llegando sin cortes ni sobresaltos.
Fuente
Imagen: softzone.es
Link affiliato