Skontrolujte, aktualizujte certifikáty zabezpečeného spustenia Windows, ktoré vypršia v roku 2026

Certifikáty Secure Boot vypršia v júni 2026. Preto je povinné získať najnovšiu aktualizáciu certifikátov Secure Boot. Ignorovanie tejto aktualizácie môže viesť k vážnym dôsledkom, pretože to spraví vaše zariadenie zraniteľným voči bootkitom a malvéru. Okrem toho sa môžete stretnúť aj s problémami pri štarte systému. Spoločnosť Microsoft vydala príručku Secure Boot Playbook, ktorá načrtáva plán aktualizácie certifikátov Secure Boot pre Windows Client. V tomto článku si ukážeme, ako aktualizovať certifikáty secure boot.

Pochopenie aktualizácie certifikátu Secure Boot 2026

Secure Boot je bezpečnostný štandard vyvinutý členmi PC priemyslu, ktorý pomáha zabezpečiť, že zariadenie sa spustí iba pomocou softvéru dôveryhodného výrobcom pôvodného vybavenia (OEM). Certifikáty Secure Boot majú vždy dátum expirácie. Nové certifikáty zabezpečujú, že vaše zariadenia zostanú aktuálne s najnovšou ochranou bezpečnosti. Tu si povieme o Aktualizácii certifikátu Secure Boot 2026.

Ako aktualizovať certifikáty zabezpečeného spustenia Windows

Zatiaľ čo počítače s Windows vyrobené od roku 2024 už majú najnovšie certifikáty, všetky staršie zariadenia musia byť aktualizované manuálne. Na získanie najnovších certifikátov Microsoft uviedol nasledujúce kroky:

Zaznamenajte a pripravte svoje prostredie
Sledujte a overujte stav zabezpečeného spustenia vašich zariadení
Použite aktualizácie firmvéru OEM pred aktualizáciami Microsoftu
Nasadiť certifikáty zabezpečeného spustenia

Začnime.

1. Zaznamenajte a pripravte svoje prostredie

Prvým krokom je overiť vaše existujúce prostredie. Pred nasadením je nevyhnutné pripraviť vaše zariadenia. Pre väčšinu zariadení vo vašej organizácii Microsoft automaticky aktualizuje zariadenia s vysokou dôverou prostredníctvom služby Windows Update. Microsoft odporúča vytvoriť reprezentatívny vzor na pilotné testovanie, so zameraním na menej bežné alebo staršie zariadenia. Testovaním aktualizácie na týchto zariadeniach s nízkou dôverou môžu IT administrátori identifikovať potenciálne problémy s bootovaním včas a zabezpečiť hladšie masové nasadenie aktualizácií.

2. Monitorujte a skontrolujte svoje zariadenia pre stav Secure Boot

Spoločnosť Microsoft odporúča skontrolovať stav aktualizácie Secure Boot pred nasadením a po ňom. Administrátori môžu využiť nové správy o stave Secure Boot vo Windows Autopatch, kľúče registra alebo denníky udalostí systému Windows na identifikáciu zariadení, ktoré stále potrebujú pozornosť.

Na kontrolu stavu pomocou Windows Autopatch prejdite na Správy > Aktualizácie kvality Windows v Microsoft Intune Admin Center. Teraz vyberte Stav zabezpečeného spustenia na karte Správy. Úspešné nasadenia sú v stĺpci Stav certifikátu označené ako aktuálne.

Skontrolujte denník udalostí systému Windows pre identifikačné číslo udalosti 1808. Táto informačná udalosť naznačuje, že do firmvéru zariadenia bola aplikovaná nová aktualizácia zabezpečenej bootovacej certifikácie. Nasledujúce kroky vás týmto prevedú:

Spustite Prehliadač udalostí Windows.
Rozbaľte Windows logy a vyberte Systém.
Kliknite na Filtrovať aktuálny protokol a zadajte 1808 do časti ID udalosti.
Kliknite na OK.

Ak sa v udalostných záznamoch nenachádza ID udalosti 1808, vyhľadajte ID udalosti 1801. Táto chybová udalosť naznačuje, že aktualizované certifikáty neboli na zariadenie aplikované.

Skontrolujte kľúč UEFICA2023Error v Registri. Tento kľúč naznačuje chybu v procese aktualizácie certifikátu zabezpečeného spustenia. Preto by v Registri nemal existovať. Namiesto toho by mal byť v Registri prítomný kľúč UEFICA2023 a jeho hodnota by mala byť Updated.

Všetky registračné kľúče zabezpečeného spustenia sa nachádzajú na nasledujúcich cestách:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

3. Aplikujte aktualizácie firmvéru OEM pred aktualizáciami Microsoftu

Spoločnosť Microsoft dôrazne odporúča aplikovať aktualizácie firmvéru OEM pred použitím aktualizácií Microsoft. Aktualizovaný firmvér môže pomôcť predchádzať problémom s kompatibilitou a zabezpečiť, že nové certifikáty Secure Boot budú akceptované. Ak vaša organizácia identifikovala problémy s aktualizáciou Secure Boot alebo váš OEM odporúča aktualizáciu firmvéru, aplikujte najnovšiu aktualizáciu BIOS/UEFI pred inštaláciou aktualizácií Windows súvisiacich so Secure Boot.

4. Nasadiť certifikáty zabezpečeného spustenia

Ak povolíte diagnostické údaje, spoločnosť Microsoft automaticky nainštaluje certifikáty Secure Boot cez Windows Update. Môžete to však urobiť aj manuálne. Spoločnosť Microsoft zdieľala nasledujúce štyri metódy, ako to urobiť:

Používanie Microsoft Intune
Cez kľúče registra
Cez Windows konfiguračný systém (WinCS)
Používanie skupinovej politiky

Nasadzovanie certifikátov pomocou Microsoft Intune

Môžete nasadzovať, spravovať a sledovať aktualizácie certifikátov zabezpečeného spustenia v Microsoft Intune. Na to sú k dispozícii nasledujúce tri nastavenia. Tieto nastavenia sú však predvolene vypnuté.

Povoliť aktualizácie certifikátov zabezpečeného spustenia
Konfigurovať spravované prihlásenie do Microsoft Update
Konfigurovať vysokú dôveru Odhlásiť sa

Prejdite nasledujúcimi pokynmi na nasadenie najnovších certifikátov cez Microsoft Intune:

Prejdite na Zariadenia > Spravovať zariadenia.
Vyberte Konfigurácia.
Vyberte Vytvoriť a vyberte Nová politika.
Prejdite na Vytvoriť profil a v rozbaľovacom zozname Platforma vyberte Windows 10 a novšie.
Vyberte Katalóg nastavení v časti Typ profilu.
Dajte svojmu profilu názov a kliknite na Ďalej.
V Nastaveniach konfigurácie vyberte Pridať nastavenia a použite výber nastavení na vyhľadanie nastavení Secure Boot vyhľadávaním Secure Boot.
Povoľte nastavenie Aktualizácie certifikátov Secureboot. Ostatné dve nastavenia sa dajú nakonfigurovať podľa vašich potrieb prostredia a nasadenia.
Dokončite profil pre zariadenia, ktoré budú používať toto nastavenie.

Nasadzovanie certifikátov cez kľúče registra

Prejdite na nasledujúcu cestu v Editore databázy Registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

Na pravej strane hľadajte kľúč AvailableUpdates. Nastavte jeho hodnotu na 0x5944, aby sa nasadili všetky potrebné certifikáty a aktualizácie do zavádzacieho manažéra Windows UEFI CA 2023.

Nasadzovanie certifikátov cez Windows konfiguračný systém (WinCS)

Spoločnosť Microsoft poskytla nové nástroje príkazového riadku pre klientov pripojených k doméne na Windows 11, 25H2, 24H2 a 23H2. Tieto nástroje zahŕňajú tradičný spustiteľný súbor aj PowerShell modul na dotazovanie a aplikovanie konfigurácií zabezpečeného spustenia.

Nasadzovanie certifikátov pomocou Group Policy

Ak chcete nasadiť najnovšie certifikáty prostredníctvom skupinovej politiky, otvorte nastavenia skupinovej politiky a prejdite na Konfigurácia počítača > Administratívne šablóny > Komponenty systému Windows > Secure Boot. Teraz nastavte politiku Povoliť nasadenie certifikátu Secure Boot na Povolené. Týmto umožníte systému Windows automaticky začať proces nasadzovania certifikátu.

Spoločnosť Microsoft tiež zdieľala spôsoby, ako riešiť a odstrániť bežné problémy. Viac informácií môžete získať na oficiálnej webovej stránke.

Požiadavky na získanie najnovších certifikátov cez Windows Update

Pre oboch, Windows klientov aj domáce počítače, spoločnosť Microsoft odporúča odosielať diagnostické údaje na získanie najnovších certifikátov prostredníctvom Windows Update. Ak je táto možnosť vypnutá, zapnite ju v Nastaveniach.

Používatelia systému Windows 10 sa musia prihlásiť do programu ESU, aby získali najnovšie certifikáty bezpečného spustenia prostredníctvom Windows Update.

Ako skontrolovať stav zabezpečeného spustenia (Secure Boot) vo Windows 11 Home

Stav certifikátu zabezpečeného spustenia môžete skontrolovať spustením nasledujúceho príkazu vo zvýšenom Windows PowerShell:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Ak dostanete ako výstup True, váš systém má najnovšie certifikáty bezpečného spustenia.

Môžete skontrolovať to isté aj v Nastaveniach Windows 11. Postupujte podľa týchto krokov:

Otvorte Nastavenia Windows 11.
Prejdite na Windows Update > História aktualizácií.
Rozbaľte záložku Ostatné aktualizácie.

Ak sú nainštalované certifikáty Secure Boot, uvidíte tam Aktualizáciu povoleného kľúča Secure Boot (KEK).

To je všetko. Dúfam, že to pomôže.

Na tomto zariadení sú k dispozícii aktualizované zabezpečené bootovacie certifikáty, ale ešte neboli aplikované

Ak sa zobrazí správa „Na tomto zariadení sú k dispozícii aktualizované certifikáty Secure Boot, ale ešte neboli aplikované“, znamená to, že váš systém má nové bezpečnostné certifikáty na posilnenie ochrany proti hrozbám na úrovni firmvéru.

Na spustenie procesu zápisu firmvéru je potrebné úplné reštartovanie (nie len vypnutie a zapnutie). Možno budete musieť zariadenie reštartovať dvakrát. Mali by ste otvoriť Windows Update alebo Nastavenia > Aktualizácia a zabezpečenie a skontrolovať čakajúce aktualizácie. Aktualizáciu Secure Boot aplikujte okamžite, aby vaše zariadenie zostalo chránené proti známym zraniteľnostiam. Po inštalácii reštartujte počítač, aby sa nové certifikáty prejavili. Mali by ste tiež skontrolovať aktualizácie BIOS-u/firmvéru.

Exspirujú certifikáty Secure Boot?

Áno, staršie certifikáty Secure Boot vypršia v júni 2026. Počítače s Windows vyrobené v roku 2024 alebo neskôr už majú najnovšie certifikáty Secure Boot. Ak však máte starší počítač, musíte certifikáty aktualizovať. Najjednoduchší spôsob, ako certifikáty aktualizovať, je udržiavať váš operačný systém Windows aktuálny.

Naozaj Windows 11 potrebuje Secure Boot?

Áno, Windows 11 vyžaduje Secure Boot. Vaše zariadenie by malo podporovať UEFI a Secure Boot. Ak je Secure Boot vypnutý, zapnite ho v BIOS-e pred inštaláciou Windows 11. Je tiež možné nainštalovať Windows 11 na zariadenia bez Secure Boot tým, že obídete hardvérové požiadavky pomocou nástroja tretích strán, ako je Rufus. Microsoft to však neodporúča.