Windows Update、Secure Boot新証明書の自動配信対象を拡大

情報元による記事紹介

Windowsの新しいSecure Boot証明書を自動受信できるデバイスの対象判定データが追加された。Microsoftが9月8日(米国時間)に公開した月次Windows Updateに盛り込まれた内容の1つだ。

AIによる記事の要点

情報元の記事をもとに自動生成しています。誤りや省略が含まれる場合があります。詳細は元記事で確認してください。

【概要】 Microsoftは9月8日のWindows Updateで、Secure Boot新証明書の自動配信対象デバイスを拡大した。2011年発行の証明書が2026年6月から失効するため、2023年世代への移行が進められている。 【具体的なポイント】 ・**失効スケジュール**：2011年発行のSecure Boot証明書は2026年6月から順次失効し、10月19日に「Microsoft Windows Production PCA 2011」の期限切れを控えている。失効後もPC起動には直接影響しないが、ブートマネージャー更新や失効リスト(DBX)などの新セキュリティ保護が受け取れなくなる。 ・**今回の更新内容**：証明書そのものの新規配布ではなく、段階的ロールアウトの対象デバイスを広げるためのターゲティング更新である。 ・**自作PC向けマザーボードの制限**：Secure Bootの鍵は階層構造で、KEK(Key Exchange Key)の入れ替えはPK(Platform Key)で署名された更新でなければファームウェアが受け付けない。メーカー独自のPKを採用する自作PC向けマザーボードではWindows Updateだけでは完結せず、UEFI(BIOS)の更新が必要な機種が存在する。 ・**初期化時の注意点**：CMOSクリアやUEFI更新時にSecure Bootの鍵を工場出荷状態に戻すと、追加済みの2023年世代証明書が消えて2011年世代に巻き戻る。古いUEFIのデフォルト鍵には新証明書が含まれないため、鍵を初期化した場合は再適用が必要である。 ・**ベンダー対応状況**：ASUS、GIGABYTE、MSI、ASRockといった主要ベンダーは順次対応UEFIを公開しているが、対応状況はチップセット世代や機種によって異なるため、各社のサポートページで確認が必要である。 ・**確認方法**：msinfo32で「セキュア ブートの状態」が「有効」であることを確認した上で、管理者権限のPowerShellで「[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'」を実行し、「True」となっているかを確認する。 【注目点】 自作PC利用者は、単なるWindows UpdateだけでなくマザーボードメーカーのUEFI更新が必須となる場合があり、UEFI初期化時に証明書が巻き戻るリスクがあるため、事前に対応状況を確認しておく必要がある。 --- **用語説明** **Secure Boot｜PCの起動時に正規のOSのみが実行されるよう、ファームウェアレベルで保護する機能** **KEK(Key Exchange Key)｜Secure Bootの鍵階層で、新しい証明書を追加する際に使用される中間的な鍵** **UEFI(BIOS)｜PCの起動前に動作するファームウェアで、ハードウェアとOSの仲介役を担う** **失効リスト(DBX)｜セキュリティ上の問題がある証明書を無効化するための一覧**