Zum Inhalt springen

Wiki-Quellcode von Secure Boot Zertifikate

Version 25.2 von Thorsten Seifert am 2026/02/27 10:56
Zeige letzte Bearbeiter
1 {{error}}
2 **Die Seite befindet sich noch im Aufbau!**
3
4 Wir übernehmen keine Garantie auf Funktion. Durchführung auf eigene Gefahr.
5 {{/error}}
6
7 Die von Microsoft im Jahr 2011 erstellten und 15 Jahre gültigen Zertifikate für Secure Boot laufen im Juni diesen Jahres ab.
8 Bei Client-Systemen sollten die neuen Zertifikate bereits über Windows Update installiert und im Bootloader aktiviert sein.
9
10 Auf Server-Systemen passiert dies aus Gründen der Sicherheit nicht automatisch!
11
12 = Was bedeutet dies für mich? =
13
14 Davon betroffen sind vom Rechenzentrum bereitgestellte, virtuellen Root-Host auf **Windows **Basis.
15
16 Die bedeutet, dass bis Juni:
17
18 * Das virtuelle UEFI getauscht werden muss.
19 * Die aktuellen Secure Boot Zertifikate im UEFI hinterlegt werden müssen.
20 * Der Windows Bootloader aktualisiert werden muss.
21 * Das neue Zertifikat im Bootloader aktiviert werden müssen.
22
23 Wir werden in den Kommenden tagen ein Powershell-Script bereitstellen, dass den aktuellen Status der Zertifikate zusammenfasst.
24 Dieses Script muss mit Administrator-Berechtigungen auf der Virtuellen Maschine ausgeführt werden!
25
26 Auf virtuellen **Linux **Root-Host, die vom Rechenzentrum herausgegeben werden, ist Secure Boot nicht aktiviert.
27
28 = Technischer Ablauf =
29
30 == Aktuellen Secure Boot Status abfragen ==
31
32 Ausführen des Powershell Skriptes "SecureBootStatus.ps1" auf der Virtuellen Maschine in einer Elevated Shell.
33
34 Die Ausgabe auf einem Host (Windows Server 2022), bei dem die Zertifikate fehlen:
35
36 [[image:SecureBootStatus_VMware_01.png||height="366" width="700"]]
37
38 == VMware vSphere ==
39
40 (% class="box infomessage" %)
41 (((
42 **Den Tausch des KEK und PK übernimmt, **in Abstimmung mit den Verantwortlichen der virtuellen Maschine,** das Rechenzentrum!**
43 )))
44
45 === Key Exchange Key (KEK) ===
46
47 * Virtuelle Maschine herunterfahren
48 * Heben der Virtual Hardware Compatibility auf mindestens VM version 21 (8.0 ESXi 8.0 U2 and later)
49 * Entfernen der zur VM gehörigen .vnram vom Datastore
50 * Beim erneuten Start VM wird eine neue, aktuelle .vnram erstellt. Diese enthält die aktuellen Zertifikate.
51 * Starten der VM
52 * Aktualisieren der VMware Tools
53 * Installation von Windows Updates (u.a. aktuelle Treiber durch heben der Virtual Hardware)
54
55 Ausgabe des Skripts nach Aktualisierung des KEK:
56
57 [[image:SecureBootStatus_VMware_02.png||height="366" width="700"]]
58
59 === Platform Key (PK) ===
60
61 * Virtuelle Maschine Herunterfahren.
62 * Hinzufügen des Advanced Parameters (Edit Settings → Advanced Parameters): uefi.allowAuthBypass = "TRUE"
63 * Hinzufügen einer bestehenden Festplatte zu der VM. Diese ist Bereits vorbereitet (vSAN/_SECURE_BOOT_CERTIFICATE_VMDK/EFI_CERT.vmdk) und enthält das Platform Key Zertifikat.
64 * VM ins UEFI starten (Edit Settings → VM Options → Boot Options → Enable Force EFI Setup)
65 * Im UEFI: Enter Setup → Secure Boot Configuration → PK Options → Enroll PK → Enroll PK Using File
66 ** Laufwerk "CERT" auswählen
67 ** "WindowsOEMDevicesPK.der" auswählen
68 ** Commit Changes and exit
69 ** Mit ESC zurück bis zum "Boot Manager" → "Shut down the system"
70 * Die hinzugefügte VHD wieder aushängen (Nur "Remove device", **nicht "Remove device an data"**).
71 * Den Advanced Parameter "uefi.allowAuthBypass" wieder entfernen.
72 * Virtuelle Maschine starten.
73
74 Ausgabe des Skripts nach Aktualisierung des PK:
75
76 [[image:SecureBootStatus_VMware_03.png||height="366" width="700"]]
77
78 == Windows ==
79
80 {{info}}
81 **Die folgenden Schritte zum aktualisieren der Signaturen des Bootloaders können erst erfolgreich durchgeführt werden, wenn der Key Exchange Key und der Platform Key aktualisiert wurden!**
82 {{/info}}
83
84 Aktualisieren der Signaturen des Bootloaders:
85
86 * Update-Status für das UEFI-Zertifikat abfragen:{{code language="none"}}Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing | Select-Object WindowsUEFICA2023Capable, UEFICA2023Status, @{n="UEFICA2023Error";e={'0x' + '{0:x}' -f $_.UEFICA2023Error}}{{/code}}
87 ** Erfolgt keine Ausgabe, fehlt eines der oben genannten Zertifikate oder wichtige Windows Updates!
88 ** Die Ausgabe sollte als //WindowsUEFICA2023Capable //"1" und //UEFICA2023Status //"NotStartet" ausgeben
89
90 [[image:WindowsBootloaderUpdatePossible.png||height="366" width="700"]]
91
92 * Signatur des Bootloader Kontrollieren: In der Powershell {{code language="none"}}WinCsFlags.exe /query --key F33E0C8E002{{/code}}
93 * Als "Current Configuration", sollte noch die alte Signatur hinterlegt sein (F33E0C8E001), der "State" ist "Disabled". Die neue Signatur muss zur Verfügung stehen, unter "Available Configurations" muss "F33E0C8E002" aufgelistet sein.
94
95 [[image:WindowsBootloaderUpdateOldSignature.png||height="366" width="700"]]
96
97 * Aktivieren der neuen Signatur: {{code language="none"}}WinCsFlags.exe /apply --key "F33E0C8E002"{{/code}}
98 * Die Ausgabe sollte "Current Configuration: F33E0C8E002" und "State: Enabled" anzeigen.
99
100 [[image:WindowsBootloaderUpdateUpdateApplied.png||height="366" width="700"]]
101
102 * Die neuen Signaturen wurde dem Bootloader hinzugefügt. Damit der Bootloader diese auch nutzt, muss dieser ebenfalls aktualisiert werden. Microsoft stellt dazu einen TastUpdate des Secure Boot Bootloaders: {{code language="none"}}Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"{{/code}}
103 * Die Virtuelle Maschine muss mindestens **zwei mal** neu gestartet werden**!**
104
105 === **Kontrolle** ===
106
107 Das Kontroll-Script sollte nun für alle Punkte ein "OK" ausgeben:
108
109 * Active authorized database: Certificate OK!"
110 * Default authorized database:  Certificate OK!"
111 * Key exchange keys:  Certificate OK!"
112 * Platform key:  Certificate OK!"
113 * UEFI CA2023 Update-Status: Updated!
114 * Bootloader-Status: Updated!
115
116 Sollte der Bootloader-Status noch "Reboot pending!" ausgeben, muss die VM nochmals, nach etwas Wartezeit, neu gestartet werden!
117
118
119 = Ressourcen =
120
121 [[https:~~/~~/techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/windows-server-secure-boot-playbook-for-certificates-expiring-in-2026/4495789>>https://techcommunity.microsoft.com/blog/windowsservernewsandbestpractices/windows-server-secure-boot-playbook-for-certificates-expiring-in-2026/4495789]]
122
123 [[https:~~/~~/support.microsoft.com/en-us/topic/windows-configuration-system-wincs-apis-for-secure-boot-d3e64aa0-6095-4f8a-b8e4-fbfda254a8fe>>https://support.microsoft.com/en-us/topic/windows-configuration-system-wincs-apis-for-secure-boot-d3e64aa0-6095-4f8a-b8e4-fbfda254a8fe]]
124
125 [[https:~~/~~/learn.microsoft.com/en-us/answers/questions/5652654/secure-boot-certificates-have-been-updated-but-are>>https://learn.microsoft.com/en-us/answers/questions/5652654/secure-boot-certificates-have-been-updated-but-are]]
126
127 [[https:~~/~~/support.microsoft.com/en-us/topic/windows-configuration-system-wincs-apis-for-secure-boot-d3e64aa0-6095-4f8a-b8e4-fbfda254a8fe>>https://support.microsoft.com/en-us/topic/windows-configuration-system-wincs-apis-for-secure-boot-d3e64aa0-6095-4f8a-b8e4-fbfda254a8fe]]
128
129
130 [[https:~~/~~/knowledge.broadcom.com/external/article/424429>>https://knowledge.broadcom.com/external/article/424429]]
131
132 [[https:~~/~~/knowledge.broadcom.com/external/article/423893>>https://knowledge.broadcom.com/external/article/423893]]
133
134 [[https:~~/~~/knowledge.broadcom.com/external/article/423919>>https://knowledge.broadcom.com/external/article/423919]]
135
136 [[https:~~/~~/knowledge.broadcom.com/external/article/421593/>>https://knowledge.broadcom.com/external/article/421593/]]
137
138