Cómo actualizar los certificados Windows Secure Boot

Acerca de Secure Boot

Secure Boot aplica una cadena de confianza verificando firmas con certificados almacenados en el firmware (DB/KEK/PK). El artículo original indica que los certificados Microsoft UEFI CA de 2011 comienzan a caducar en junio de 2026 y que los sistemas sin certificados de sustitución podrían perder protecciones de arranque. Esta fecha es la indicada por la fuente original, no una comprobación independiente del estado actual.

Despliegue descrito por Microsoft

La fuente describe un despliegue gradual de los certificados Windows UEFI CA 2023 mediante Windows Update y comprobaciones de compatibilidad, con firmware OEM cuando sea necesario. Indica que la mayoría de los dispositivos Windows 11 compatibles deberían recibir la actualización automáticamente; algunos dispositivos antiguos podrían necesitar firmware OEM o despliegue manual.

Comprobar la nueva CA en la DB activa

Ejecute PowerShell como administrador:

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Si devuelve True, la CA está presente en la DB activa.

Inventario de equipos

El artículo también propone un script PowerShell para consultar el estado de Secure Boot y la presencia de la CA en varios equipos. Get-SecureBootUEFI es el cmdlet compatible para leer variables UEFI; la ejecución remota requiere WinRM y permisos de administrador. Pruebe primero en un grupo pequeño.

Opciones de actualización

• Windows Update: mantenga el servicio al día para recibir los certificados destinados a dispositivos aptos.
• Firmware OEM: si Windows Update no puede escribir la nueva DB/KEK en el firmware, consulte al fabricante para una actualización UEFI.
• Despliegue empresarial: Group Policy, scripts PowerShell o Windows Configuration Service (WinCS) pueden distribuir actualizaciones a equipos unidos al dominio. Pruebe en un entorno de laboratorio antes del despliegue general.

GPO, WinCS e Intune

1. Confirme que los dispositivos tienen versiones de Windows compatibles y la telemetría/diagnósticos necesarios; coordine firmware OEM para equipos que bloqueen las escrituras en DB.
2. En Active Directory local, cree una GPO en Computer Configuration → Administrative Templates → Windows Components → Secure Boot.
3. Habilite Enable Secure Boot certificate updates y despliegue por etapas: prueba, piloto y general.
4. También puede usar Windows Configuration Service (WinCS) o el perfil Intune Settings Catalog publicado por Microsoft para participar en el despliegue y recoger telemetría.

Pruebas, supervisión y reversión

• Pruebe en hardware representativo y máquinas virtuales; compruebe Has2023CA y revise los registros Secure Boot / TPM-WMI en Event Viewer.
• Espacio ESP: algunas actualizaciones fallan si EFI System Partition no dispone de espacio libre suficiente; consulte al OEM si hace falta.
• Reversión: documente recuperación de firmware y sistema operativo. Los cambios GPO son reversibles, pero las escrituras en la DB de firmware pueden ser irreversibles en ciertas plataformas.

Solución de problemas

Durante el despliegue, revise Event Viewer para eventos Secure Boot y TPM-WMI. Si un dispositivo no acepta la nueva CA, compruebe su configuración Secure Boot y consulte al OEM.