- Microsoftが一部端末でSecure Bootアップデートをブロック
- 2011年発行証明書から最新の2023年証明書への更新で不具合が発生している端末が存在
- 一部の旧端末やOEMのサポート対象外となった端末は、最新のSecure Boot証明書のダウンロードが制限される可能性あり
Microsoftは、証明書更新をめぐる既知の不具合により、一部のWindows 11 PCでSecure Bootアップデートのインストールをブロックしています。
同社は現在、2011年に発行され現在は失効している証明書を使用している端末向けに、Secure Bootのアップデート展開を進めています。新しい2023年証明書はWindows Update経由で適用されますが、ファームウェアに不具合のある端末で問題が発生したため、Microsoftは展開を一時停止せざるを得なくなりました。
Microsoftは次のように述べています。「このグループに属する端末では既知の問題が発生しています。リスクを軽減するため、Microsoftとパートナー各社がサポート対象の解決策に向けて取り組んでいる間、Secure Boot証明書の更新を一時的に停止します」
Secure Bootの不具合
Secure Bootは長年、悪意あるファイルの排除において端末を守る重要な機能とされてきました。Windowsが起動する前に、真正なソフトウェアのみを検証・読み込みできるようにする仕組みだからです。しかし、端末が証明書の更新を受け取れない場合、Windowsが読み込まれる前のブートレベルで脅威にさらされる恐れがあります。
Microsoftは現在、影響を受ける端末が新しいSecure Boot 2023証明書をインストールできるようにするパッチの提供に向け、各メーカーと協力を進めています。HPはすでにBIOSアップデートを提供しており、最新証明書のインストールが可能になっています。
実際のところこれが意味するのは、一部の旧端末や、OEM（相手先ブランド供給元）からのアップデート提供がすでに終了している端末では、Secure BootおよびBoot Managerの保護機能を適用できなくなるということです。Microsoftはこの点について次のように説明しています。「これは長期的なセキュリティの段階的な低下を意味するものであり、即座のリスクやシステム障害を意味するものではありません。Windowsアップデートを常に最新の状態に保つなど、標準的なセキュリティ対策を引き続き実施してください」
つまり、たとえお使いの端末が最新のSecure Boot証明書のインストールをブロックされていても、端末は問題なく動作を続け、他のWindowsアップデートも引き続き適用されます。また、現在お使いのSecure Bootのバージョンは、既知の脆弱性に対する保護を引き続き提供します。この問題の影響を受けるユーザーが注意すべきなのは、あくまで今後発見される新たな脆弱性についてです。
多くのユーザーは、実際にSecure Bootを使う場面が来るまでこの問題に気づかないかもしれません。そうした意味では、Microsoftの今回の警告は、自分のSecure Bootが正常に機能しているかどうかを今のうちに確認しておく良い機会だとも言えるでしょう。
Secure Bootが最新かどうかを確認する方法
お使いのSecure Bootが最新の証明書を使用しているかどうかを確認するには、以下の手順に従ってください。
- 検索バーからWindowsセキュリティアプリを開く
- 右側のメニューからデバイスセキュリティのダッシュボードに移動する
- Secure Bootのセクションを確認し、以下のいずれのメッセージが表示されているか確認する
- 「Secure Boot is on（Secure Bootはオンになっています）」
このメッセージが表示されている場合、Secure Bootはおそらく正常に機能しています。ただし、このメッセージは証明書の現在の状態までは示していません。Microsoftは現在、お使いのSecure Bootが最新証明書で稼働しているかどうかを表示するアップデートを展開中ですので、保留中のWindowsアップデートがないか確認してください。
- 「Devices in this group are affected by a known issue.（このグループに属する端末では既知の問題が発生しています）」
このメッセージが表示される端末は、OEMからファームウェアアップデートが提供され次第、最新の証明書をインストールできるようになるとみられます。ご利用のOEMのアップデート提供状況を確認してください。
- 「Secure Boot is on, but your device does not support the automated Secure Boot certificate update due to hardware or firmware limitations.（Secure Bootはオンになっていますが、ハードウェアまたはファームウェアの制限により、自動でのSecure Boot証明書更新には対応していません）」
このメッセージが表示される端末は、すでにOEMのサポート対象外となっているか、OEMが必要なファームウェアアップデートを提供できなくなっている可能性があります。Microsoftは、お使いの端末がサポート終了となっていないかどうか、OEMのSecure Bootサポートページで確認するよう推奨しています。
出典: WindowsLatest
