Frage - Notwendige Schritte beim Thema "Windows Secure Boot Certificate Expiring 2026"

[cj_berlin 1.567]

vor 12 Stunden schrieb phatair:

Wird der current store z.b. bei einer Neuinstallation von Windows neu aus dem default store erzeugt?

Normalerweise nicht, aber Firmware wurde ja auch nur von Menschen* geschrieben. Es kann also passieren, dass irgendwas beschädigt wird. Manche UEFI-Varienten haben sogar ein Fallback-Verhalten für Secure Boot, wonach sie automatisch die Default Stores probieren, wenn die Verifizierung mit den Runtime Stores fehlschlägt.

* heutzutage muss man ja sagen, "oder, schlimmer noch, NICHT von Menschen"  

[phatair 47]

vor 4 Stunden schrieb cj_berlin:

* heutzutage muss man ja sagen, "oder, schlimmer noch, NICHT von Menschen"  

Wohl wahr 

 

Ich habe aber doch noch mal eine Frage zum Ablauf der Zertifikate. Laut MS laufen die Zertifikate wie folgt ab

 

Bedeutet das jetzt, das man bis Juni 2026 alle Clients aktualisiert haben muss, da das Zertifikat danach nicht mehr getauscht/installiert werden kann (da das alte Zertifikat abgelaufen ist und ihm nicht mehr vertraut wird) oder hat das mit dem Austausch/Installation des 2023er Zertifikats erstmal weniger zu tun?

 

Wir haben zwar den Prozess definiert und er funktioniert, trotzdem ist es viel Arbeit und ich bezweifele gerade etwas, dass wir den Juni halten können.

Stehen wir dann im Juli vor dem Problem, dass der Austausch der Zertifikate nicht mehr geht oder geht das auch nach dem Juni, nur sind die entsprechenden Geräte eben durch MS nicht mehr aktualisierbar (Boot Manager), wenn die Zertifikate zum tragen kommen.

 

Danke euch schon mal.

[cj_berlin 1.567]

Moin, 

 

nach allem, was bisher bekannt ist, und ich hatte auch schon versucht, die Uhr nach vorne zu stellen, kannst Du das Update auch in 2027 noch vornehmen. Im Bereich PK + KEK wird auf die Zeit eh nicht geachtet, denn zur Einschaltzeit ist die gute Uhr ja nicht garantiert, aber auch im weiteren Boot-Prozess wird nur das Vertrauen geprüft und nicht die Gültigkeit.

 

Was halt nach Ablauf nicht mehr regulär geht, ist eine neue Signatur zu erzeugen. Aber auch das kann mit verdrehter Uhr umgangen werden.