Am Puls von Microsoft

Sicherheit Secure-Boot-Zertifikat abgelaufen: PC zukünftig unsicher?

A

Anwender123

nicht mehr wegzudenken
Hallo,

bei meinem PC, der 2016 das letzte BIOS-Update bekommen hat und den ich über Umwege auf Windows 11 gebracht habe, ist im Juni 2026 das Secure-Boot-Zertifikat abgelaufen. Ein Firmwareupdate wird es nicht mehr geben. Bisher rennt mein PC so gut, dass keine Notwendigkeit besteht, ihn auszutauschen. HP wird allerdings für den Alt-Rechner sicherlich kein Firmwareupdate zur Verfügung stellen, das die neuen Zertifikate beinhaltet.
Ist er von nun an besonders gefährdet für Viren und Trojaner?
Dasselbe betrifft mein Notebook aus dem Jahr 2021 von Acer. In der Acer-Liste für BIOS-Updates, die das Zertifikat ausgerollt bekommen, taucht es nicht auf.

Wie hoch ist das Risiko, die beiden Geräte ohne das aktualisierte Zertifikat zu betreiben?

Und wie ernst ist diese Aussage von MS zu nehmen: "Die meisten Windows-Geräte erhalten die aktualisierten Zertifikate automatisch, und viele OEMs stellen bei Bedarf Firmwareupdates bereit." (Quelle: Ablauf des Windows Secure Boot-Zertifikats und Updates der Zertifizierungsstelle - Microsoft-Support) Nachdem ich ein altes und mittelaltes Gerät habe, klingt diese Aussage etwas weit hergeholt. Unsere Firma hat fast nur Geräte, die min. 8 Jahre alt sind.
 
MSFreak schrieb:
Schaue bitte auch hier:
Was passiert, wenn die Secure Boot-Zertifikate unter Windows 11 und Windows 10 ablaufen?
Zum Vergrößern anklicken....
Wenn ich mir den Artikel und die Kommentare durchlese, werden wohl ältere PCs nicht mehr die Zertifikate erhalten. Sie werden scheinbar schon seit Februar ausgerollt und heute sollte sie eigentlich jeder haben. Wer sie also noch nicht hat, wird sie wohl kaum mehr erhalten. Dort tauchen auch Meldungen auf, dass 5 Jahre alte Acer-Geräte nicht mehr mit den Zertifikaten ausgestattet werden. Einer schreibt, dass Secure-Boot ohnehin nur Schnickschnack sei - sind die vielen PCs, die die Zertifikate nicht erhalten werden, dann also weiterhin sicher?
 
Anwender123 schrieb:
Ist er von nun an besonders gefährdet für Viren und Trojaner?
Zum Vergrößern anklicken....
Anwender123 schrieb:
Wie hoch ist das Risiko, die beiden Geräte ohne das aktualisierte Zertifikat zu betreiben?
Zum Vergrößern anklicken....
Anwender123 schrieb:
Einer schreibt, dass Secure-Boot ohnehin nur Schnickschnack sei
Zum Vergrößern anklicken....
Wie immer im Leben - kommt darauf an. Wer sich im Internet vergleichbar wie ein Elefant im Porzellanladen bewegt, dem werden noch so viele Zertifikate und Secure Boot-Mechanismen wahrscheinlich nicht viel nützen.

Die Sache mit 'brain.exe' ist zwar ein abgedroschener Vergleich, wirkt jedoch immer noch. Weiters musst Du Dich fragen: Wie wichtig bin ich? Ein 08/15-User oder jemand, der in der Öffentlichkeit steht. Wie verhältst Du Dich in Social Media, sofern Du überhaupt daran teilnimmst? Bist Du auf dubiosen Seiten oder im Darknet unterwegs? Wie schätzt Du Dich überhaupt ein? Anwender mit Hintergrundwissen, Hardwareexperte, IT-Profi, etc.? Glaubst Du, dass gerade Deine Geräte Ziele von Hackern werden, und wenn, warum?

Du bist seit über zehn Jahren hier angemeldet, also unterstelle ich, dass Du auch Threads über Phishing und ähnliche Bedrohungen liest und Dich (hoffentlich) nicht so wie manche Betroffene verhältst. Diese Bedrohungen sind ungleich gefährlicher und kommen tagtäglich in mehrstelliger Anzahl vor.

Ich möchte Dich mit diesem Posting nicht in Sicherheit wiegen, doch Sicherheit mit Secure Boot und Zertifikaten ist relativ. Gemessen an den stark steigenden Betrugsversuchen (bei denen es meistens völlig egal war, ob mit oder ohne Zertifikat/Secure Boot, etc. unterwegs), dürfte der Mangel an Letzteren nicht der Grund sein, in Panik zu verfallen.

Nicht unwichtig ist auch, was Du mit Deiner aktuellen (alten) Hardware überhaupt machst. Für wichtige und sichere Dinge würde ich den Geräten nicht unbedingt das Vertrauen aussprechen, aber wenn sich auf PC und Notebook 'entbehrliche' Daten befinden, dann weißt Du selbst wie man ein Backup zurückspielt.

Ansonsten wurdest Du ja bereits von den Vorpostern mit den 'hoch offiziellen' Informationen versorgt. Die Entscheidung liegt bei Dir. Garantieren kann Dir niemand etwas, auch nicht mit Wahrscheinlichkeiten und Prozentsätzen.
 
Zuletzt bearbeitet:
Anwender123 schrieb:
Einer schreibt, dass Secure-Boot ohnehin nur Schnickschnack sei - sind die vielen PCs, die die Zertifikate nicht erhalten werden, dann also weiterhin sicher?
Zum Vergrößern anklicken....

Unkenntnis der Materie verleitet gerne mal zu so einer unsinnigen Aussage

Das Thema an sich geistert ja seit über einem Jahr durch die Gazetten, so dass man eigentlich genug Zeit hatte, sich eingehend zu formieren und Microsoft hat dazu einiges beigetragen.

techcommunity.microsoft.com

Secure Boot playbook for certificates expiring in 2026

Explore tools and step-by-step guidance to help you proactively update your Secure Boot certificates.
techcommunity.microsoft.com techcommunity.microsoft.com

Ablauf des Windows Secure Boot-Zertifikats und Updates der Zertifizierungsstelle - Microsoft-Support

support.microsoft.com support.microsoft.com

Laut Microsoft funktionieren Geräte mit abgelaufenen Zertifikaten weiterhin wie gewohnt und erhalten auch reguläre Windows-Updates. Allerdings entfällt die Möglichkeit, neue Secure-Boot-Datenbankupdates, Sperrlisten für Zertifikate sowie Patches gegen neu entdeckte Schwachstellen auf Boot-Ebene zu erhalten. Malware wie beispielsweise BlackLotus hat gezielt genau diese Ebene im Visier. Systeme mit abgelaufenen Zertifikaten besitzen daher keinen Schutzpfad mehr gegen aktuelle und zukünftige Bedrohungen auf Firmware-Ebene...
 
Natürlich werden die in's UEFI geschrieben. Über die Kommandozeile z. B. so
Code: 
sudo fwupdmgr refresh --force
sudo fwupdmgr update
 
Zuletzt bearbeitet:
@Jörg! D.h., MS könnte die Zertifikate bei allen Rechnern, die UEFI unterstützen, direkt dorthin schreiben? Wenn das so einfach ist, wieso dann der ganze Stress und wieso sind dann nicht bereits alle Rechner mit frischen Zertifikaten ausgestattet?
 
Jetzt mal ne doofe Frage eines "Linux-Neuling", wird überhaupt ein Secure Boot Zertifikat unter Linux benötig ?
Gerade mal in meinem Fujitsu-Laptop nachgeschaut, und da ist der Secure Boot deaktiviert. Gibt es mit aktivierten Secure Boot Probleme mit dem Rescuezilla-Stick, weil ich mind. 1x im Monat eine Systemsicherung mache.
 
Benötigt nicht, jedenfalls für mich, da ich viel teste und deswegen Secure Boot deaktiviert habe.
Jetzt habe ich mal alle Keys im UEFI gelöscht und die Standardkeys des Mainboards geladen.
Und siehe da:
ASUS System Product Name
│
└─UEFI dbx:
│ Gerätekennung: 362301da643102b9f38477387e2193e57abaa590
│ Zusammenfassung: UEFI revocation database
│ Aktuelle Version: 20250507
│ Minimale Version: 20250507
│ Anbieter: Microsoft (UEFI:Microsoft)
│ URL: https://uefi.org/revocationlistfile
│ Installationsdauer: 1 Sekunde
│ GUIDs: f8ff0d50-c757-5dc3-951a-39d86e16f419 ← UEFI\CRT_D7F66BE77CEF858C174BF4338A99263C8795
B74E02026411F5F532F716AE3263&ARCH_X64
│ f8ba2887-9411-5c36-9cee-88995bb39731 ← UEFI\CRT_A1117F516A32CEFCBA3F2D1ACE10A87972FD
6BBE8FE0D0B996E09E65D802A503&ARCH_X64
│ d07ff664-b0e1-5f4e-a723-d7fbcbfcb94f ← UEFI\CRT_3CD3F0309EDAE228767A976DD40D9F4AFFC4
FBD5218F2E8CC3C9DD97E8AC6F9D&ARCH_X64
│ Geräte-Bitschalter: • Internes Gerät
│ • Aktualisierbar
│ • Unterstützt auf dem entfernten Server
│ • Benötigt einen Neustart nach der Installation
│ • Das Gerät ist während der Dauer der Aktualisierung nutzbar
│ • Nur Versionsaktualisierungen sind erlaubt
│ • Signierte Nutzdaten
│ • Kann für die Emulation markieren
│
└─Secure Boot dbx Konfigurationsaktualisierung:
Neue Version: 20250902
Gegenstellenkennung: lvfs
Veröffentlichungskennung: 130035
Zusammenfassung: UEFI Secure Boot Forbidden Signature Database
Variante: x64
Lizenz: Proprietär
Größe: 24,1 KB
Erstellt: 2025-09-02 00:00:00
Dringlichkeit: Hoch
Geprüft: 2026-06-08 00:00:00
Distribution: ubuntu 26.04
Alte Version: 20230501
Version[fwupd]: 2.1.1
Geprüft: 2026-05-29 00:00:00
Distribution: debian 13
Alte Version: 20250507
Version[fwupd]: 2.0.20
Geprüft: 2026-04-20 00:00:00
Distribution: ubuntu 25.10
Alte Version: 20230501
Version[fwupd]: 2.0.16
Geprüft: 2026-02-25 00:00:00
Distribution: ubuntu 25.10
Alte Version: 20230501
Version[fwupd]: 2.0.18
Geprüft: 2026-02-13 00:00:00
Distribution: ubuntu 25.10
Alte Version: 20230501
Version[fwupd]: 2.0.17
Geprüft: 2025-12-05 00:00:00
Distribution: fedora 42 (workstation)
Alte Version: 20250507
Version[fwupd]: 2.0.17
Geprüft: 2025-11-10 00:00:00
Distribution: fedora 43 (kde)
Alte Version: 20230501
Version[fwupd]: 2.0.16
Anbieter: Linux Foundation
Dauer: 1 Sekunde
Veröffentlichungsbitschalter: • Vertrauenswürdige Metadaten
• Ist Aktualisierung
• Getestet von einem vertrauenswürdigen Anbieter
Beschreibung:
This updates the list of forbidden signatures (the "dbx") to the latest release from Microsoft.

Some insecure versions of the IGEL bootloader were added, due to a security vulnerability that allowed
an attacker to bypass UEFI Secure Boot.
Problem: CVE-2025-47827
Prüfsumme: 7178302fa23fcb875e7540900e299fb30a76758663efb7e1c56edc25cd3f316a

fwupdmgr hat Firmware-Updates gefunden, aber deren Anwendung ist in der Konfiguration deaktiviert. Führen Sie
'fwupdmgr update' aus, um die Firmware manuell zu aktualisieren.
Zum Vergrößern anklicken....
Code: 
sudo fwupdmgr update
[sudo] Passwort für root:
╔══════════════════════════════════════════════════════════════════════════════╗
║ UEFI dbx von 20250507 auf 20250902 aktualisieren?                            ║
╠══════════════════════════════════════════════════════════════════════════════╣
║ This updates the list of forbidden signatures (the "dbx") to the latest      ║
║ release from Microsoft.                                                      ║
║                                                                              ║
║ Some insecure versions of the IGEL bootloader were added, due to a security  ║
║ vulnerability that allowed an attacker to bypass UEFI Secure Boot.           ║
║                                                                              ║
╚══════════════════════════════════════════════════════════════════════════════╝
Operation durchführen? [Y|n]:
 
Zuletzt bearbeitet:
 
Linux Mint hat signierten Bootloader und Kernel und funktioniert mit Secure Boot.
Da du bei deaktiviertem Secure Boot installiert hast, muss evtl. das Zertifikat noch geschrieben werden.
 
Sieht bei mir anders aus, aber trotzdem Danke für deine Hilfe, ich lasse den Secure Boot deaktiviert, weil der Laptop perfekt läuft.

screenshot.png
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Oben