Ako skontrolovať, či má váš počítač aktualizované certifikáty Secure Boot v systéme Windows 11, 10

• Platnosť certifikátov Secure Boot od spoločnosti Microsoft z roku 2011 vyprší v júni 2026.
• Nové certifikáty Windows UEFI CA 2023 predlžujú ochranu do roku 2053.
• Zariadenia zakúpené v roku 2024 alebo neskôr zvyčajne už obsahujú aktualizované certifikáty.
• Staršie počítače dostávajú aktualizáciu postupne prostredníctvom služby Windows Update.
• Stav certifikátu môžete overiť pomocou príkazu PowerShell.

Na niektorých zariadeniach so systémom Windows 11 a Windows 10 je naplánované, že platnosť certifikátov Secure Boot, ktoré boli prvýkrát vydané v roku 2011, vyprší v júni 2026. Hoci ich spoločnosť Microsoft aktívne nahrádza certifikátmi z roku 2023, mali by ste overiť, či váš systém už prešiel na novšie certifikáty, aby ste predišli prerušeniam spúšťania alebo zabezpečenia.

Secure Boot je ochranná funkcia založená na firmvéri v rozhraní UEFI (Unified Extensible Firmware Interface), ktorá zabezpečuje, že zariadenie načíta iba softvér digitálne podpísaný a dôveryhodný výrobcom. Chráni proces spúšťania tým, že zabraňuje neoprávneným zmenám kritických komponentov spúšťania pred načítaním operačného systému.

Na dosiahnutie tohto cieľa používa Secure Boot kryptografické kľúče, známe ako certifikačné autority (CA), na overovanie modulov firmvéru a bootloaderov. Tieto certifikáty vytvárajú reťazec dôvery, ktorý blokuje spustenie škodlivého kódu počas skorého spustenia.

Rovnako ako všetky digitálne certifikáty, aj certifikačné autority Secure Boot majú definované dátumy expirácie. Certifikáty z roku 2011, ktorých platnosť sa skončí v júni 2026, znamenajú, že systémy musia mať nainštalované novšie certifikáty z roku 2023, aby mohli naďalej prijímať aktualizácie a normálne spúšťať systém bez zlyhaní overovania dôveryhodnosti.

Keďže digitálne certifikáty majú dátumy expirácie, systémy musia nainštalovať certifikáty z roku 2023 pred expiráciou certifikačných autorít z roku 2011 v júni 2026, aby sa mohli naďalej správne spúšťať a prijímať aktualizácie.

Zariadenia zakúpené v roku 2024 alebo neskôr zvyčajne už obsahujú nové certifikáty. V prípade staršieho hardvéru ich spoločnosť Microsoft distribuuje prostredníctvom služby Windows Update.

Spoločnosť Microsoft už identifikuje a automaticky aktualizuje certifikácie Secure Boot prostredníctvom pravidelných aktualizácií systému, takže okrem ponechania zapnutej služby Windows Update a inštalácie mesačných aktualizácií zabezpečenia pred termínom v júni 2026 nie je potrebný žiadny manuálny zásah. Vždy je však dobré skontrolovať a zistiť, či má vaše zariadenie príslušné certifikáty.

V tejto príručke načrtnem kroky na kontrolu, či sú certifikáty Secure Boot 2023 už nainštalované vo vašom počítači.

• Skontrolujte, či má váš počítač certifikáty Secure Boot 2023 pomocou PowerShellu
• Skontrolujte, či má váš počítač certifikáty Secure Boot 2023 pomocou nástroja Zabezpečenie systému Windows.

Skontrolujte, či má váš počítač certifikáty Secure Boot 2023 pomocou PowerShellu

Ak chcete skontrolovať, či máte „aktualizované“ certifikáty Secure Boot z roku 2023 (ktoré nahrádzajú certifikáty, ktorých platnosť vyprší v roku 2026), postupujte podľa týchto krokov:

1. Otvorte ponuku Štart v systéme Windows 11.

    

    

2. Vyhľadajte PowerShell (alebo Terminál ), kliknite pravým tlačidlom myši na prvý výsledok a vyberte možnosť Spustiť ako správca.

3. Zadajte tento príkaz na kontrolu dátumu expirácie certifikátov Secure Boot a stlačte Enter: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

Po dokončení krokov, ak je výstup „True“ (Pravda), máte nový certifikát (platný do roku 2053). Ak je výstup „False“ (Nepravda), pravdepodobne stále používate certifikát z roku 2011 (platný do roku 2026).

Certifikáty Secure Boot 2011 vypršia v roku 2026 – čo každý certifikát robí

Takmer všetky moderné reťazce Secure Boot sa spoliehajú na certifikáty spoločnosti Microsoft z roku 2011, ktoré majú nasledujúce dátumy expirácie :

• Spoločnosť Microsoft Corporation KEK CA 2011 (24. júna 2026). 
• Certifikácia UEFI spoločnosti Microsoft Corporation 2011 (27. júna 2026).
• Pamäť Microsoft Option ROM UEFI CA 2011 (27. júna 2026).
• Microsoft Windows Production PCA 2011 (19. októbra 2026).

Pre porovnanie, toto robí každý certifikát:

• Certifikát KEK: Dôveryhodná kotva, ktorá umožňuje aktualizáciu databáz podpisov Secure Boot (DB/DBX).
• Certifikáty UEFI CA: Dôverujte podpisom bootloaderov a komponentov firmvéru (vrátane aplikácií EFI tretích strán).
• Voliteľná ROM CA: Dôveruje modulom ROM s voliteľným firmvérom.
• Microsoft Windows Production PCA 2011: Zaisťuje, že firmvér v režime Secure Boot dôveruje zavádzaciemu programu systému Windows a súvisiacim binárnym súborom.

Ak sa blíži koniec platnosti vašich certifikátov, spoločnosť Microsoft a výrobca vášho počítača (OEM) automaticky odošlú aktualizácie firmvéru alebo aktualizácie „DBX“ prostredníctvom služby Windows Update alebo aktualizácií systému, aby sa zaregistrovali nové certifikáty CA 2023. Nové certifikáty Secure Boot môžete kedykoľvek nainštalovať manuálne .

Prečo sa v Zobrazovači udalostí zobrazuje udalosť s ID 1801 (a prečo to nie je chyba)

Nakoniec si pravdepodobne všimnete, že sa pre zdroj „TPM-WMI (Microsoft-Windows-TPM-WMI)“ zobrazí ID udalosti 1801 so správou „BucketConfidenceLevel: Pod pozorovaním – Potrebné ďalšie údaje“ .

Hoci to vyzerá ako chyba, nejde o zlyhanie. Táto položka znamená, že operačný systém zistil aktualizované certifikáty Secure Boot, ale ešte ich nepoužil vo firmvéri.

Zariadenie je vo fáze testovania a overovania, zatiaľ čo spoločnosť Microsoft postupne zavádza aktualizáciu. Keďže kľúče Secure Boot sú súčasťou firmvéru UEFI a ovplyvňujú reťazec zavádzania, prechod je starostlivo koordinovaný, aby sa predišlo problémom so zavádzaním.

Jednoducho povedané, udalosť s ID 1801 je iba kontrola stavu, ktorá indikuje, že systém Windows vyhodnocuje vaše zariadenie ako súčasť zavádzania certifikátu Secure Boot. Správa „Pod dohľadom“ odráža tento proces hodnotenia. Neznamená problém s modulom TPM, poškodenie Secure Boot ani zlyhanie systému BIOS. Napriek tomu, že sa zaznamená ako chyba, má čisto informačný charakter.

Prechod certifikátu Secure Boot prebieha v dvoch fázach. Najprv systém Windows 11 (alebo 10) stiahne a pripraví nový certifikát v operačnom systéme. Neskôr, po kontrole kompatibility a overení, sa certifikát zapíše do firmvéru systému a aktivuje.

Zariadenia môžu zostať medzi týmito dvoma fázami určitý čas, a preto sa položky TPM-WMI môžu naďalej zobrazovať v Zobrazovači udalostí, aj keď sa nič nedeje.

Skontrolujte, či má váš počítač certifikáty Secure Boot 2023 pomocou nástroja Zabezpečenie systému Windows.

Okrem používania PowerShellu bola aktualizovaná aj aplikácia Zabezpečenie systému Windows , ktorá zobrazuje presný stav certifikátov Secure Boot, ktorých platnosť vyprší v roku 2026. 

Ak chcete skontrolovať, či má váš počítač najnovšie certifikáty Secure Boot, postupujte podľa týchto krokov:

1. Otvorte Štart .

2. Vyhľadajte Zabezpečenie systému Windows a kliknutím na prvý výsledok otvorte aplikáciu.

3. V ľavom paneli kliknite na Zabezpečenie zariadenia .

4. Potvrďte farbu a správu odznaku Secure Boot.

5. (Možnosť 1) Zelená znamená, že systém je plne aktualizovaný s najnovšími certifikátmi a zavádzacími komponentmi.

   

6. (Možnosť 2) Žltá farba označuje, že aktualizácia čaká na vydanie alebo je obmedzená z dôvodu kompatibility.

   

7. (Možnosť 3) Červená znamená, že systém nemôže použiť požadované aktualizácie a vyžaduje zásah.

   

Po dokončení krokov budete mať jasnejšiu predstavu o tom, či nie je potrebná žiadna akcia, alebo či je potrebné pokračovať v manuálnom procese aktualizácie firmvéru systému novšou verziou certifikátov Secure Boot.

Správa, ktorú uvidíte v aplikácii Zabezpečenie systému Windows, je viazaná na aktualizácie certifikátov doručené prostredníctvom služby Windows Update. Systém vyhodnocuje kompatibilitu firmvéru, overuje nasadenie certifikátov a v reálnom čase hlási výsledok.

Spoločnosť Microsoft postupne zavádza túto aktualizáciu do aplikácie Windows Update. Ak nedokážete určiť stav certifikátov, použite možnosť PowerShell.

Od mája 2026 budú tieto stavy odrážať aj systémové oznámenia, čím sa zvýši viditeľnosť, keď je potrebné konať.