Microsoft waarschuwt al een tijdje voor aflopende Secure Boot-certificaten. Wie nog werkt met de oude certificaten uit 2011, kan zijn pc op termijn minder goed beschermen tegen geavanceerde malware. Het goede nieuws is dat veel systemen de nieuwe certificaten automatisch ontvangen. Bij andere computers is echter een firmware-update nodig, en sommige oudere toestellen zullen de nieuwe beveiliging zelfs helemaal niet meer krijgen.
Secure Boot controleert tijdens het opstarten van Windows of alleen vertrouwde software wordt geladen. Zo voorkomt de functie dat malware zich al vóór Windows actief wordt in het systeem, waar antivirussoftware vaak weinig tegen kan beginnen. Daarvoor maakt Secure Boot gebruik van digitale certificaten. De certificaten die in 2011 werden uitgegeven, verlopen dit jaar. Drie ervan zijn inmiddels vervallen en het laatste certificaat loopt af in oktober 2026. Daarom moeten Windows-pc’s overstappen op de nieuwe certificaten die Microsoft in 2023 introduceerde. Een pc blijft wel gewoon opstarten met de oude certificaten, maar de beveiliging is niet langer optimaal.
Zo controleer je of jouw pc in orde is
Windows laat normaal gezien weten wanneer er een probleem is. Zie je een blauw schildje met een gele of rode waarschuwing in het systeemvak, dan is actie vereist.
Je kan het ook zelf controleren via Windows-beveiliging > Apparaatbeveiliging. Staat er een groen vinkje naast ‘Beveiligd opstarten’, dan is alles in orde. Verschijnt er een gele of rode melding, dan moet je controleren of jouw systeem de nieuwe certificaten kan ontvangen.
In de meeste gevallen zit de oplossing in een firmware-update van het moederbord, beter bekend als een UEFI- of BIOS-update. Heb je een laptop of kant-en-klare desktop van bijvoorbeeld Dell, HP, Lenovo of ASUS, dan kan je via de ondersteuningspagina van de fabrikant controleren of er een nieuwe firmware beschikbaar is. Veel merken bieden daarvoor ook automatische updateprogramma’s aan. Wie zelf een pc heeft samengesteld, moet de nieuwste BIOS-versie downloaden via de website van de fabrikant van het moederbord en die handmatig installeren. Bij erg oude BIOS-versies is het verstandig om niet meteen naar de nieuwste versie te springen, maar de updates stapsgewijs uit te voeren.
Heeft je computer de nieuwe certificaten nog niet ontvangen, dan is er geen reden tot paniek. Toch is het verstandig om voorlopig wat voorzichtiger te zijn. Vermijd dubieuze websites, installeer geen onbekende browserextensies en download software uitsluitend uit betrouwbare bronnen. Vooral malware die zich tijdens het opstarten van Windows nestelt, kan profiteren van verouderde Secure Boot-certificaten. Zorg er daarnaast voor dat je antivirussoftware volledig up-to-date blijft. Die kan dergelijke aanvallen niet altijd verwijderen zodra ze actief zijn, maar wel voorkomen dat besmette software überhaupt wordt geïnstalleerd.
Sommige oudere pc’s vallen uit de boot
Niet iedere computer zal de nieuwe certificaten ontvangen. Microsoft levert de certificaten wel aan, maar het zijn de hardwarefabrikanten die de noodzakelijke firmware-updates moeten uitbrengen. Wordt jouw toestel niet langer ondersteund door de fabrikant, dan is de kans groot dat er geen update meer verschijnt. In dat geval blijft de pc werken, maar neemt de bescherming tegen moderne aanvallen geleidelijk af. Op termijn kan een hardware-upgrade dan de veiligste keuze zijn.
Herinnert zich nog perfect het opstartdeuntje van Windows 95. Nostalgische ziel die tegelijk graag op de hoogte blijft van de evoluties in techland. Ziet Windows, een iPhone en Google-apps als de ideale combinatie.
