พีซี Windows ที่รองรับ Secure Boot ทุกเครื่องที่คุณใช้ในช่วงทศวรรษที่ผ่านมาใช้ใบรับรองการเข้ารหัสชุดเดียวกันเพื่อรักษากระบวนการบูตให้ปลอดภัย ใบรับรองเหล่านี้ออกโดย Microsoft เมื่อปี 2011 และเป็นเหตุผลที่คอมพิวเตอร์ของคุณสามารถตรวจสอบได้ว่าซอฟต์แวร์ที่โหลดก่อนที่ Windows เริ่มทำงานนั้นถูกต้องตามกฎหมายและไม่ได้ถูกดัดแปลง พวกมันถูกรวมไว้ในเฟิร์มแวร์ของเมนบอร์ดของคุณ และคนส่วนใหญ่ไม่เคยมีเหตุผลที่จะคิดถึงมันเลย นั่นกำลังจะมีการเปลี่ยนแปลง
ในวันที่ 24 มิถุนายน 2026 ใบรับรองใบแรกเหล่านี้จะหมดอายุ และหากพีซีของคุณไม่อัปเดตทันเวลา พีซีของคุณจะไม่หยุดบูตกะทันหัน และจะยังคงได้รับการอัปเดตเป็นประจำ แต่จะสูญเสียความสามารถในการรับการอัปเดตความปลอดภัยในอนาคตสำหรับส่วนที่ละเอียดอ่อนที่สุดของกระบวนการเริ่มต้นระบบ Windows Microsoft ได้เริ่มเปิดตัวการทดแทนผ่านทาง Windows Update แต่นี่ไม่ใช่แพตช์ธรรมดา จำเป็นต้องมีการประสานงานระหว่าง Microsoft ผู้ผลิตพีซีของคุณ และในบางกรณี คุณเอง Microsoft เองได้เรียกสิ่งนี้ว่าเป็นหนึ่งในความพยายามบำรุงรักษาความปลอดภัยที่มีการประสานงานที่ใหญ่ที่สุดทั่วทั้งระบบนิเวศของ Windows และหลังจากจัดการกับปัญหา Secure Boot ในอดีต ฉันสามารถบอกคุณได้ว่านั่นไม่ได้พูดเกินจริง
ห่วงโซ่ความน่าเชื่อถือของ Secure Boot สร้างขึ้นจากใบรับรองที่ไม่เคยมีกำหนดจะคงอยู่ตลอดไป
ใบรับรองไม่เคยทำ
เพื่อทำความเข้าใจว่าทำไมสิ่งนี้ถึงสำคัญ คุณต้องเข้าใจว่า Secure Boot ทำงานอย่างไรภายใต้ประทุน ไม่ใช่การสลับการตั้งค่า BIOS ของคุณ แม้ว่าคนส่วนใหญ่จะพบสิ่งนี้เป็นครั้งแรกก็ตาม Secure Boot คือสายโซ่แห่งความไว้วางใจ ซึ่งเป็นลำดับชั้นของใบรับรองการเข้ารหัสที่จัดเก็บไว้ในเฟิร์มแวร์ UEFI ของเมนบอร์ดของคุณ ซึ่งจะตรวจสอบซอฟต์แวร์ทุกชิ้นที่ทำงานก่อนที่ระบบปฏิบัติการของคุณจะโหลด หากลิงก์ใด ๆ ในห่วงโซ่นั้นเสียหายหรือหมดอายุ ความสามารถของทั้งระบบในการป้องกันตัวเองจะลดลง
ที่ด้านบนของห่วงโซ่นั้นคือ Platform Key หรือ PK นี่เป็นของผู้ผลิตพีซีของคุณ ไม่ว่าจะเป็น Dell, Lenovo, HP, ASUS หรือใครก็ตามที่เป็นผู้สร้างบอร์ด PK คือรากฐานของความไว้วางใจ และอนุญาตให้มีการเปลี่ยนแปลงทุกสิ่งที่อยู่ด้านล่าง ด้านล่าง PK จะอยู่ที่ Key Exchange Key หรือ KEK ใบรับรอง KEK ของ Microsoft คือสิ่งที่ให้สิทธิ์แก่ Windows ในการอัปเดตเลเยอร์ถัดไป: Signature Database หรือที่เรียกว่า DB และ Forbidden Signature Database, DBX
DB ประกอบด้วยใบรับรองที่พีซีของคุณเชื่อถือในการลงนามโปรแกรมโหลดบูต ไดรเวอร์ และส่วนประกอบเฟิร์มแวร์ คิดว่าเป็นรายชื่อแขกสำหรับกระบวนการบูตของคุณ DBX คือรายการบล็อกที่มีลายเซ็นของซอฟต์แวร์ที่ทราบว่าไม่ดีซึ่งไม่ควรได้รับอนุญาตให้ทำงานระหว่างการบูต เมื่อพีซีของคุณเริ่มทำงาน Secure Boot จะตรวจสอบทุกอย่างกับฐานข้อมูลเหล่านี้ หาก Bootloader ลงนามโดยใบรับรองใน DB มันจะทำงาน ถ้ามันตรงกับบางอย่างใน DBX มันจะถูกบล็อก สิ่งนี้เกิดขึ้นก่อนที่ Windows จะโหลดด้วยซ้ำ ซึ่งเป็นสิ่งที่ทำให้มันมีประสิทธิภาพในฐานะกลไกด้านความปลอดภัย และอันตรายมากเมื่อมันผิดพลาด
ปัญหาคือ: ใบรับรองสามใบในกลุ่มนี้กำลังจะหมดอายุ Microsoft Corporation KEK CA 2011 และ Microsoft UEFI CA 2011 ทั้งคู่จะหมดอายุในเดือนมิถุนายน 2569 Microsoft Windows Production PCA 2011 ซึ่งลงนามในโปรแกรมโหลดบูตของ Windows จะหมดอายุในเดือนตุลาคม 2569 เมื่อหมดอายุแล้ว พีซีของคุณจะไม่สามารถใช้สิ่งเหล่านี้เพื่อตรวจสอบการอัปเดตใหม่ และไม่สามารถใช้การบรรเทาความปลอดภัยใหม่กับกระบวนการบูตได้ คุณถูกหยุดไว้ทันเวลาอย่างมีประสิทธิภาพ โดยดำเนินการปกป้องใดๆ ที่คุณมี ณ วันหมดอายุ โดยไม่มีวิธีใดที่จะเพิ่มการป้องกันใหม่ได้
ใบรับรองทดแทนจะแยกสิ่งต่าง ๆ ด้วยเหตุผล
ทางนั้นปลอดภัยกว่า
ใบรับรองทดแทนปี 2023 ไม่ใช่การแลกเปลี่ยนแบบหนึ่งต่อหนึ่ง Microsoft ได้ปรับโครงสร้างใหม่วิธีการทำงานของใบรับรองจริง ๆ และมันก็คุ้มค่าที่จะเข้าใจว่าทำไม Microsoft Corporation UEFI CA 2011 ดั้งเดิมลงนามทุกอย่าง รวมถึงโปรแกรมโหลดบูตของบริษัทอื่น, ROM ตัวเลือกสำหรับการ์ดเพิ่มเติม เช่น การ์ดกราฟิกและอะแดปเตอร์เครือข่าย และส่วนประกอบเฟิร์มแวร์ต่างๆ นั่นเป็นการให้ความไว้วางใจในวงกว้าง และนั่นหมายความว่าการประนีประนอมส่วนหนึ่งของระบบนิเวศอาจกระเพื่อมออกไปด้านนอกในลักษณะที่ยากต่อการคาดเดา
โครงสร้างใหม่จะแยกความรับผิดชอบเหล่านี้ออกจากกัน มี Microsoft Corporation KEK 2K CA 2023 ซึ่งมาแทนที่ KEK และอนุญาตการอัปเดต DB และ DBX, Windows UEFI CA 2023 สำหรับการลงนามส่วนประกอบบูตโหลดเดอร์ของ Windows จากนั้นยังมี Microsoft Option ROM UEFI CA 2023 แยกต่างหากสำหรับ ROM ตัวเลือกบุคคลที่สามและเฟิร์มแวร์การ์ดเสริมโดยเฉพาะ การแยกนี้หมายความว่าระบบที่ไม่จำเป็นต้องเชื่อถือ ROM ตัวเลือกไม่จำเป็นต้องทำ ซึ่งเป็นการปรับปรุงอย่างแท้จริงว่าโมเดลความน่าเชื่อถือของ Secure Boot แบบละเอียดสามารถเป็นได้อย่างไร การเปลี่ยนแปลงประเภทนี้ควรจะเกิดขึ้นเมื่อหลายปีก่อน แต่ใบรับรองเดิมจะต้องหมดอายุก่อนจึงจะบังคับการเปลี่ยนแปลงได้
หากทั้งหมดนี้ฟังดูคล้ายกับความกลัวที่แพร่กระจาย ลองพิจารณา BlackLotus สิ BlackLotus ค้นพบในปี 2023 เป็นบูทคิท UEFI ตัวแรกที่สามารถข้าม Secure Boot บนระบบ Windows 11 ที่อัปเดตอย่างสมบูรณ์ มันใช้ประโยชน์จาก CVE-2022-21894 หรือที่รู้จักในชื่อ Baton Drop และ CVE-2023-24932 ซึ่งเกิดขึ้นเพื่อเป็นความพยายามที่จะป้องกัน BlackLotus สิ่งเหล่านี้เป็นช่องโหว่ที่ทำให้ผู้โจมตีสลับตัวโหลดบูตที่ทันสมัยและปลอดภัยกับตัวโหลดบูตรุ่นเก่าที่มีช่องโหว่ซึ่งยังคงได้รับความเชื่อถือจากใบรับรองของระบบ การโจมตีใช้ประโยชน์จากข้อเท็จจริงที่ว่า DBX ของ Secure Boot ไม่ได้รับการอัปเดตเพื่อเพิกถอนตัวจัดการการบูตรุ่นเก่าเหล่านั้น ซึ่งเป็นความล้มเหลวที่ย้อนกลับไปถึงความซับซ้อนในการจัดการความน่าเชื่อถือตามใบรับรองในระดับเฟิร์มแวร์โดยตรง
เมื่อโหลดแล้ว BlackLotus สามารถปิดการใช้งาน BitLocker, Hypervisor-Protected Code Integrity และ Windows Defender ได้ ทั้งหมดนี้ก่อนที่ระบบปฏิบัติการจะเริ่มทำงานด้วยซ้ำ มันทำงานในระดับเฟิร์มแวร์ซึ่งซอฟต์แวร์ป้องกันไวรัสมองไม่เห็น หากคุณเคยสงสัยว่าเหตุใดการรักษาความปลอดภัยระดับบูตจึงมีความสำคัญ นี่คือเหตุผลที่แท้จริง ผู้โจมตีที่สามารถเข้าถึงห่วงโซ่การบูตของคุณสามารถเป็นเจ้าของระบบทั้งหมดของคุณได้อย่างมีประสิทธิภาพ และไม่มีการป้องกันจุดสิ้นสุดที่ทำงานภายใน Windows จำนวนเท่าใดที่สามารถทำอะไรกับมันได้
ตั้งแต่นั้นมา Microsoft ได้ดำเนินการเพิกถอนตัวจัดการการบูตที่มีช่องโหว่ แต่การอัปเดต DBX ของ Secure Boot เพื่อบล็อก bootloaders เก่าเหล่านั้นนั้นช้าอย่างเจ็บปวด เนื่องจากการทำผิดอาจทำให้ระบบไม่สามารถบูตได้ และ Microsoft ยังได้รับทราบเรื่องนี้โดยตรง ตัวอย่างเช่น HP มีข้อบกพร่องของเฟิร์มแวร์ที่อาจทำให้ระบบไม่สามารถบู๊ตได้ทั้งหมดหลังจากใช้การเพิกถอน Secure Boot บางอย่าง ซึ่งหมายความว่า Microsoft จะต้องเพิ่มการตรวจสอบเฉพาะอุปกรณ์ก่อนที่จะเริ่มใช้การบรรเทาผลกระทบ
ใบรับรองที่หมดอายุจะทำให้สิ่งนี้แย่ลง หากไม่มีใบรับรองที่อัปเดต พีซีของคุณจะไม่สามารถรับการเพิกถอนที่จำเป็นในการบล็อกการโจมตีอย่าง BlackLotus ได้ คุณติดอยู่กับกระบวนการบูตที่เชื่อถือซอฟต์แวร์ที่ไม่ควรเชื่อถือ และไม่มีกลไกใดที่จะแก้ไขได้หลังจากนั้น Microsoft ได้ระบุไว้อย่างชัดเจนว่าใบรับรองปี 2023 ที่อัปเดตเป็นมาตรการรักษาความปลอดภัยล่าสุดเพื่อแก้ไขช่องโหว่ของ BlackLotus ทำให้นี่เป็นการแก้ไขด้านความปลอดภัยที่ใช้เวลาสามปีในการทำ
ไม่ใช่ว่าพีซีทุกเครื่องจะลงเรือลำเดียวกัน
พีซี Copilot+ ปลอดภัย
พีซี Copilot+ และอุปกรณ์ส่วนใหญ่ที่ผลิตตั้งแต่ปี 2024 จัดส่งพร้อมใบรับรองใหม่ปี 2023 ที่ติดตั้งไว้แล้ว และอุปกรณ์เกือบทั้งหมดที่จัดส่งในปี 2025 ก็รวมใบรับรองเหล่านั้นด้วย หากคุณซื้อพีซีเครื่องใหม่ในช่วงปีหรือสองปีที่แล้ว คุณคงพร้อมแล้ว สำหรับคนอื่นๆ ซึ่งเป็นพีซี Windows ส่วนใหญ่ที่ใช้งานอยู่ในปัจจุบัน การอัปเดตจำเป็นต้องเกิดขึ้น
Microsoft ได้เริ่มเผยแพร่ใบรับรองใหม่ผ่าน Windows Update ตามปกติบนระบบที่รองรับ สำหรับผู้ใช้ตามบ้านบน Windows 11 ที่มีการอัปเดตที่ Microsoft จัดการ สิ่งนี้ควรเกิดขึ้นโดยอัตโนมัติตลอดรอบการอัปเดตรายเดือน Microsoft กำลังเปิดตัวสิ่งนี้แบบค่อยเป็นค่อยไป โดยขยายตามข้อมูลการวินิจฉัยจากอุปกรณ์เพื่อให้แน่ใจว่าการอัปเดตปลอดภัยก่อนที่จะเผยแพร่ในวงกว้างมากขึ้น ในอีกไม่กี่เดือนข้างหน้า สถานะการอัปเดตใบรับรองจะปรากฏในแอป Windows Security ซึ่งจะทำให้ผู้บริโภคติดตามได้ง่ายขึ้น
แต่สำหรับสภาพแวดล้อมขององค์กร มันมีความเกี่ยวข้องมากกว่า ผู้ดูแลระบบไอทีจำเป็นต้องเปิดใช้งานข้อมูลการวินิจฉัย Windows ในระดับ “จำเป็น” เป็นอย่างน้อย เพื่อให้ Microsoft สามารถตรวจสอบได้ว่าอุปกรณ์พร้อมสำหรับการอัปเดตหรือไม่ นอกจากนี้ยังมีคีย์รีจิสทรีให้เลือก: เส้นทางคือ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot โดยมีค่า DWORD ที่เรียกว่า “MicrosoftUpdateManagedOptIn” ตั้งค่าเป็นค่าที่ไม่ใช่ศูนย์ นอกเหนือจากนั้น Microsoft ยังเสนอวิธีการปรับใช้ที่แตกต่างกันสี่วิธี: Intune, Group Policy, รีจิสตรีคีย์ และ Windows Configuration System API ซึ่งจะบอกคุณบางอย่างเกี่ยวกับความหลากหลายของสภาพแวดล้อมที่พวกเขาพยายามสนับสนุน นี่ไม่ใช่การแก้ไขด้วยคลิกเดียวสำหรับทุกคนที่จัดการกลุ่มอุปกรณ์
สิ่งสำคัญคือ: การอัปเดตของ Microsoft เพียงอย่างเดียวยังไม่เพียงพอ OEM ของพีซีของคุณต้องมีการอัพเดตเฟิร์มแวร์ก่อน การอัพเดตเฟิร์มแวร์นั้นเป็นสิ่งที่อัพเดตคีย์แพลตฟอร์มและเตรียมสภาพแวดล้อม UEFI ให้ยอมรับใบรับรองใหม่ หากไม่มีการอัปเดตใบรับรอง การใช้การอัปเดตใบรับรองผ่าน Windows อาจล้มเหลวหรือทำให้เกิดปัญหาในการบูตในกรณีที่เลวร้ายที่สุด Microsoft ได้ทำงานอย่างใกล้ชิดกับ OEM ในเรื่องนี้ และหลายรายได้เผยแพร่หน้าคำแนะนำของตนเอง แต่ไม่ใช่ว่า OEM ทุกรายจะจัดให้มีการอัปเดตเฟิร์มแวร์สำหรับฮาร์ดแวร์รุ่นเก่า หากพีซีของคุณมีอายุมากกว่าห้าหรือหกปี มีโอกาสจริงที่ผู้ผลิตของคุณจะเดินหน้าต่อไป และคุณอาจติดอยู่กับใบรับรองที่หมดอายุและไม่มีหนทางข้างหน้า
ผู้ใช้ Windows 10 อยู่ในจุดที่ยากลำบากเป็นพิเศษ
ความตายครั้งสุดท้ายเป็นเวลา 10
มีกลุ่มหนึ่งที่ได้รับผลกระทบเป็นพิเศษจากสิ่งนี้ และเป็นกลุ่มใหญ่: ผู้ใช้ Windows 10 Microsoft สิ้นสุดการสนับสนุน Windows 10 ในเดือนตุลาคม 2025 และอุปกรณ์ที่ใช้ Windows เวอร์ชันที่ไม่รองรับจะไม่ได้รับการอัปเดต Windows เลย นั่นหมายความว่าพวกเขาจะไม่ได้รับใบรับรอง Secure Boot ใหม่ เว้นแต่ว่าคุณได้ลงทะเบียนในการอัปเดตความปลอดภัยแบบขยายเวลา (ซึ่งมีค่าใช้จ่ายและข้อจำกัดของตัวเอง) เครื่อง Windows 10 ของคุณจะไม่ได้รับใบรับรองปี 2023 ผ่านช่องทางปกติเลย
คำแนะนำอย่างเป็นทางการของ Microsoft คือการอัพเกรดเป็น Windows เวอร์ชันที่รองรับ ซึ่งสำหรับคนส่วนใหญ่หมายถึง Windows 11 แต่นั่นก็ไม่ใช่ทางเลือกเสมอไป ข้อกำหนดด้านฮาร์ดแวร์ของ Windows 11 โดยเฉพาะอย่างยิ่งข้อกำหนด TPM 2.0 ล็อคพีซีที่ทำงานได้สมบูรณ์แบบหลายล้านเครื่อง แม้ว่าจะมีวิธีแก้ปัญหาก็ตาม ดังนั้น คุณอาจมีเครื่องที่เก่าเกินไปสำหรับ Windows 11 แต่ยังคงใช้งาน Windows 10 อยู่ และตอนนี้ก็เก่าเกินไปที่จะรับใบรับรอง Secure Boot ที่อัปเดตแล้ว ปัญหาเหล่านี้ซ้อนทับกัน และไม่มีคำตอบที่ชัดเจนสำหรับผู้ใช้เหล่านั้น
ระบบที่ได้รับผลกระทบยังครอบคลุมมากกว่าเดสก์ท็อปและแล็ปท็อปจริงอีกด้วย เครื่องเสมือนที่ทำงานบน VMware, Hyper-V และ Azure ล้วนอยู่ภายใต้การหมดอายุของใบรับรองเดียวกัน Microsoft ได้เผยแพร่คำแนะนำแยกต่างหากสำหรับ Windows Server, Windows 365 และ Azure Virtual Desktop โดยแต่ละข้อมีข้อควรพิจารณาในการปรับใช้ของตนเอง หากคุณใช้ VM ที่เปิดใช้งาน Secure Boot และคุณควรเป็นเช่นนั้น VM เหล่านั้นก็ต้องได้รับการอัปเดตใบรับรองด้วย
สิ่งที่คุณควรทำจริง ๆ ในตอนนี้
หากคุณเป็นผู้ใช้ตามบ้าน ตรวจสอบให้แน่ใจว่าพีซีของคุณได้รับการตั้งค่าให้รับการอัปเดต Windows โดยอัตโนมัติ และคุณกำลังใช้งาน Windows เวอร์ชันที่รองรับ ตรวจสอบกับผู้ผลิตพีซีของคุณเกี่ยวกับการอัปเดต BIOS หรือเฟิร์มแวร์ที่มีอยู่ และติดตั้งสิ่งเหล่านั้นก่อน หลังจากนั้นให้ Windows Update ทำสิ่งนั้น จับตาดูแอป Windows Security เพื่อดูการแจ้งเตือนสถานะใบรับรองในขณะที่ Microsoft เปิดตัวสิ่งเหล่านั้น
หากคุณกำลังจัดการอุปกรณ์ในองค์กร นี่จะเป็นเรื่องเร่งด่วนกว่านี้มาก Microsoft ขอแนะนำให้ตรวจสอบหน้าเริ่มต้นการเปิดตัวใบรับรอง Secure Boot เพื่อดูคำแนะนำที่เป็นปัจจุบันมากขึ้น เริ่มต้นด้วยการตรวจสอบคีย์รีจิสทรี “UEFICA2023Status” เพื่อติดตามการใช้งาน และใช้การอัปเดตเฟิร์มแวร์ OEM ในอุปกรณ์ทั้งหมดของคุณก่อนที่การอัปเดตใบรับรอง Windows จะสิ้นสุดลง Microsoft ยังเป็นเจ้าภาพเซสชัน Ask Microsoft Anything ในวันที่ 12 มีนาคมโดยเฉพาะเกี่ยวกับ Secure Boot ซึ่งคุ้มค่าที่จะเข้าร่วมหากคุณจัดการอุปกรณ์จำนวนมาก
กำหนดเวลาไม่ยืดหยุ่น วันที่ 27 มิถุนายน 2026 คือวันที่ใบรับรองใบแรกหมดอายุ และเดือนตุลาคม 2026 ตามมาติดๆ พีซีของคุณจะไม่ปิดกั้นตัวเองในวันนั้น แต่ทุกๆ วันหลังจากนั้นโดยไม่มีใบรับรองที่อัปเดต จะเป็นวันที่กระบวนการบูตของคุณมีความปลอดภัยน้อยกว่าที่ควรจะเป็น Microsoft ได้อธิบายว่าสิ่งนี้กำลังเข้าสู่ “สถานะความปลอดภัยที่ลดระดับลง” และจากสิ่งที่ BlackLotus แสดงให้เห็น นั่นไม่คุ้มที่จะเสี่ยง ห่วงโซ่การบูตเป็นที่เดียวที่การรักษาความปลอดภัยต้องทำงาน เพราะสิ่งอื่นๆ ที่ตามมาจะขึ้นอยู่กับมัน
*️⃣ ลิงค์ที่มา:
ใบรับรองใบแรกหมดอายุ , Secure Boot ซึ่งเป็นสายโซ่ของ ไว้วางใจ มาตรการรักษาความปลอดภัยล่าสุด , Windows 10 แม้ว่าจะมีวิธีแก้ปัญหาก็ตาม