Microsoft đã xác nhận rằng các bản cập nhật chứng chỉ Khởi động an toàn không thành công hoặc bị chặn trên một số PC chạy Windows 11 do các sự cố đã biết. Công ty cho biết họ đang làm việc với các nhà sản xuất PC về một bản vá, nhưng bạn vẫn có thể cần phải hành động nếu chứng chỉ bị chặn vì những lý do khác.
Trong tài liệu hỗ trợ cập nhật được Windows mới nhất phát hiện lần đầu tiên, Microsoft cho biết họ đã tạm dừng triển khai Khởi động an toàn cho một số PC do các sự cố tiềm ẩn đã biết. Nếu thiết bị của bạn bị ảnh hưởng, bạn sẽ thấy thông báo lỗi chi tiết trong ứng dụng Bảo mật Windows:
Cho đến thời điểm hiện tại, ứng dụng Windows Security đã yêu cầu bạn liên hệ với nhà sản xuất thiết bị nếu chứng chỉ Khởi động an toàn đã lỗi thời. Nhưng giờ đây, nó cũng cảnh báo khi Microsoft xác định các sự cố mới đã biết có thể gây ra sự cố khi cập nhật Secure Boot.
“Các thiết bị trong nhóm này bị ảnh hưởng bởi một sự cố đã biết. Để giảm rủi ro, các bản cập nhật chứng chỉ Khởi động an toàn tạm thời bị tạm dừng trong khi Microsoft và các đối tác nỗ lực tìm ra giải pháp được hỗ trợ”, Microsoft giải thích trong một tài liệu.
Như bạn có thể biết, chứng chỉ Khởi động an toàn được cấp vào năm 2011 trở về trước hiện đã hết hạn và Microsoft đang cố gắng thay thế chúng bằng chứng chỉ mới được cấp vào năm 2023.
Công ty cho biết tất cả các PC “đủ điều kiện” sẽ tự động bắt đầu sử dụng các chứng chỉ được hỗ trợ thông qua Windows Update, nhưng điều đó không xảy ra với tất cả các PC, bao gồm cả một số phần cứng được hỗ trợ đầy đủ trong đó các cấu hình hoặc cài đặt tương thích khác có thể tạm dừng quá trình triển khai.
Tôi không thực sự ngạc nhiên, vì nhà báo kỳ cựu Ed của Windows mới nhất đã phát hiện ra rằng PC Windows, đặc biệt là những PC cũ hơn, có vấn đề về phần sụn và nhiều chiếc chưa sẵn sàng cho ngày D đã trôi qua.
Microsoft xác nhận một số PC bị chặn nhận chứng chỉ Khởi động an toàn mới
Tôi đã hỏi Microsoft những câu hỏi hóc búa xung quanh chứng chỉ Khởi động an toàn và cho đến nay, thật ấn tượng về cách gã khổng lồ Windows giải quyết tình huống này. Tất cả phần cứng hiện đại đều đã sử dụng chứng chỉ Khởi động an toàn được cấp vào năm 2023 và những phần cứng không bị vô hiệu hóa Khởi động an toàn mà không nhận ra hoặc sử dụng phần sụn bị lỗi.
Bạn có thể xác minh xem Khởi động an toàn có được bật và cập nhật hay không bằng cách mở Bảo mật Windows > Bảo mật thiết bị > Khởi động an toàn.
Nếu thông báo Secure Boot được bật và các chứng chỉ được áp dụng thì bạn không phải lo lắng về bất cứ điều gì. Nhưng trong một số trường hợp, nó chỉ thông báo “Khởi động an toàn đang bật” và không có dấu hiệu rõ ràng nào về trạng thái hiện tại của chứng chỉ.
Các OEM xác nhận sự cố Khởi động an toàn
HP là một trong những OEM gần đây xác nhận rằng các bản cập nhật Secure Boot đang vô tình bị chặn trên PC của họ. Trong tài liệu hỗ trợ, HP cho biết họ đã bắt đầu tung ra bản cập nhật BIOS cho nhiều PC để chuẩn bị cho thời hạn Secure Boot vào tháng 6. Thật không may, một số PC bị kẹt ở màn hình BitLocker và không cài đặt được chứng chỉ Khởi động an toàn.
HP lưu ý: “Chứng chỉ 2023 của Microsoft có thể không áp dụng đúng cách trên máy tính khi xảy ra sự cố BitLocker này”.
Sau khi HP và một số nhà sản xuất khác thông báo cho người tiêu dùng về các sự cố tiềm ẩn đã biết với Secure Boot, Microsoft cũng đã đưa ra bản cập nhật.
Microsoft cho biết họ đã làm việc với các nhà sản xuất PC và xác định một nhóm thiết bị hoặc chương trình cơ sở mà bản cập nhật chứng chỉ Khởi động an toàn có thể gây rắc rối. Nếu bị ảnh hưởng, các thiết bị cần có bản cập nhật chương trình cơ sở mới, nhưng vì bản cập nhật đó chưa có sẵn nên Microsoft đã chặn các bản cập nhật chứng chỉ Khởi động an toàn để giảm rủi ro.
“Các thiết bị trong nhóm này bị ảnh hưởng bởi một sự cố đã biết”, Microsoft cảnh báo mà không chia sẻ ví dụ về các PC bị ảnh hưởng.
“Để giảm thiểu rủi ro, các bản cập nhật chứng chỉ Khởi động an toàn tạm thời bị tạm dừng trong khi Microsoft và các đối tác nỗ lực tìm ra giải pháp được hỗ trợ. Hãy liên hệ với nhà sản xuất thiết bị của bạn để được hỗ trợ.”
Cảnh báo mới này đã bắt đầu được triển khai gần đây, vì vậy nếu bạn thấy Khởi động an toàn được bật nhưng không có thông tin rõ ràng về chứng chỉ đã cài đặt, bạn nên kiểm tra lại ứng dụng Bảo mật.
“Cần có bản cập nhật chương trình cơ sở nhưng có thể chưa có sẵn. Khi có bản cập nhật, bản cập nhật chương trình cơ sở sẽ được phát hành và cài đặt thông qua kênh cập nhật tiêu chuẩn của OEM của bạn”, Microsoft giải thích.
Tại sao một số PC chưa nhận được Secure Boot 2023
Microsoft nói với Windows mới nhất rằng hầu hết các PC đã nhận được chứng chỉ Khởi động an toàn và chúng tự động cài đặt thông qua Windows Update.
Trong một số trường hợp, Windows Update phát hiện các sự cố tương thích tiềm ẩn, đó là lý do tại sao nó không bao giờ gửi bản cập nhật Secure Boot 2023 theo cách của bạn.
Có một cảnh báo khác khi Windows báo cáo trạng thái Khởi động an toàn là bật, nhưng cũng chỉ ra rằng thiết bị sẽ không nhận được bản cập nhật chứng chỉ Khởi động an toàn do các hạn chế về phần cứng hoặc chương trình cơ sở.
Trong trường hợp trên, nếu thiết bị của bạn đã được vài năm tuổi và không phải là một trong những thiết bị bán chạy nhất của OEM thì đừng mong đợi một bản cập nhật. Các OEM hiếm khi phát hành bản cập nhật chương trình cơ sở cho các PC cũ hơn và khi chương trình cơ sở UEFI không được hỗ trợ, Microsoft sẽ không phát hành bản cập nhật chứng chỉ Secure Boot 2023 cho PC của bạn.
“Nhiều OEM đang tích cực phát hành các bản cập nhật chương trình cơ sở này thông qua các kênh cập nhật tiêu chuẩn của họ. Nếu cần cập nhật chương trình cơ sở, hãy kiểm tra trang hỗ trợ Khởi động an toàn của OEM để biết các bước tiếp theo”, Microsoft lưu ý và điều này phù hợp với những phát hiện trước đây của chúng tôi.
Windows mới nhất trước đây đã phát hiện ra rằng các OEM đã âm thầm cập nhật tài liệu Khởi động an toàn của họ để xác nhận các sự cố Khởi động an toàn và việc thiếu các bản cập nhật chương trình cơ sở cần thiết cho các thay đổi bảo mật cần thiết.
Microsoft giải thích trong một tài liệu khác: “Mẫu PC của bạn có thể không còn được OEM hỗ trợ hoặc OEM có thể không còn có thể cung cấp các bản cập nhật chương trình cơ sở cần thiết để cập nhật cấu hình tin cậy Khởi động an toàn cho thiết bị của bạn”.
Tại sao cần phải có Secure Boot 2023, nhưng nó không phải là yếu tố phá vỡ thỏa thuận nếu bạn chưa có nó
Đối với những người chưa biết, Secure Boot là một tính năng bảo mật được tích hợp trong chương trình cơ sở UEFI trên máy tính của bạn và được Windows 11 yêu cầu chính thức trừ khi bạn bỏ qua nó. Khi bật Khởi động an toàn và các chứng chỉ được cập nhật, Windows sẽ chặn phần mềm trái phép hoặc không hợp lệ cũng như phần mềm độc hại tiềm ẩn chạy ở cấp độ khởi động.
Secure Boot 2011 và chứng chỉ mới 2023 được sử dụng để xử lý và xác minh các bản cập nhật cho Secure Boot DBX, còn được gọi là Cơ sở dữ liệu chữ ký bị cấm. Nếu không có chứng chỉ cập nhật, PC không thể nhận danh sách mới các bộ tải khởi động bị xâm phạm hoặc dễ bị tấn công để chặn một cách an toàn.
Microsoft khẳng định rằng bạn không được tắt Khởi động an toàn nếu bạn không nhận được bản cập nhật, vì điều đó sẽ khiến bảo mật Windows trở nên tồi tệ hơn so với hiện tại nếu không có chứng chỉ được cập nhật.
Như chúng tôi đã báo cáo trước đây, chứng chỉ Khởi động an toàn đã hết hạn không có nghĩa là PC của bạn sẽ ngừng khởi động hoặc ngừng hoạt động. Trên thực tế, người tiêu dùng thông thường gần như không thể nhận thấy bất kỳ sự khác biệt nào và đây không phải là thảm họa ngay lập tức đối với hầu hết người tiêu dùng, nhưng Microsoft đã chia sẻ thêm chi tiết trong bảng bên dưới:
| Những gì tiếp tục hoạt động mà không cần Secure Boot 2023 | Những gì không còn hoạt động nếu không có Secure Boot 2023 |
|---|---|
| Thiết bị tiếp tục khởi động bình thường. | Không thể áp dụng các biện pháp bảo vệ Khởi động an toàn và Trình quản lý khởi động mới. |
| Các bản cập nhật chất lượng và tính năng của Windows, bao gồm cả bản cập nhật bảo mật hàng tháng, vẫn tiếp tục được cài đặt. | Các thành phần bảo mật liên quan đến khởi động yêu cầu chứng chỉ cập nhật có thể không cài đặt được. |
| Các tác vụ hàng ngày, bao gồm ứng dụng, kết nối mạng và duyệt web, vẫn không thay đổi. | Các bộ tải khởi động độc hại hoặc dễ bị tổn thương mới được phát hiện có thể không bị chặn. |
| Khởi động an toàn vẫn được bật và tiếp tục bảo vệ khỏi các mối đe dọa đã biết trước đó. | Một số thành phần không phải của Microsoft dựa vào sự tin cậy của Microsoft Secure Boot có thể không cập nhật được nếu chúng cần các mục chứng chỉ mới hơn. |
| Thiết bị không gặp phải rủi ro ngay lập tức hoặc lỗi hệ thống. | Khả năng bảo vệ an ninh lâu dài có thể dần tụt hậu so với các thiết bị được cập nhật đầy đủ. |
Cuối cùng, Secure Boot là “cơ chế xác minh chuỗi khởi động dựa trên phần sụn” và cần có các chứng chỉ cập nhật để đảm bảo PC chỉ chạy phần mềm đã được xác minh.
