Microsoft Secure Boot 2011 憑證到期對 Dell PowerEdge 伺服器的影響

Secure Boot 憑證可作為 Secure Boot 程序的一部分使用，可協助保護系統免於使用引導套件。bootkit 是一種惡意軟體，其設計目的是感染開機載入器或開機程序，讓惡意程式碼能夠在系統上執行。

過期的憑證不會影響已安裝的作業系統 — 系統仍會繼續開機。

憑證過期的系統可能會遇到：

• 無法接收安全開機相關更新
• 如果停用安全開機或重設 BIOS 預設值，可能會導致開機失敗
• 增加對 bootkit 惡意軟體的漏洞

受影響的產品：

• 執行 Windows Server 2012 及更新版本的 Dell PowerEdge 伺服器
• 受影響的平台包括第 14、15 和 16 代伺服器平台。
• 第 17 代伺服器平台已包含新憑證

Microsoft 即將停用 2011 安全開機憑證鏈 （KEK CA 2011、UEFI CA 2011、Windows UEFI CA 2011）。這些憑證將於 2026 年 6 月起到期，需要轉換為 2023 年憑證鏈結。

最新官方Microsoft博客公告：立即行動：安全開機憑證將於 2026 年 6 月到期

• Dell 計畫在 2025 年底前發佈第 14、第 15 和第 16 代伺服器平台的 BIOS 更新
• BIOS 更新包括 2023 年安全開機憑證
• Microsoft使用 Windows 更新將更新推送至作用中的 Secure Boot 資料庫
• 避免重設 BIOS 預設值或停用安全開機
• 第 12 代和第 13 代伺服器平台會因為服務終止狀態而無法收到更新

如需 Microsoft 的更多詳細資料，請參閱此處的 Microsoft KB 文章，包括憑證詳細說明：Windows 安全開機憑證到期和 CA 更新

開始檢查內部資產和流程，以確保它們為即將到來的Microsoft證書更改做好準備。Microsoft在此處提供了有關如何為即將到來的更改做準備的一些指導：適用於具有 IT 管理更新

的企業和組織的 Windows 裝置Azure 和企業環境：
對於企業和雲託管的系統，Microsoft提供了其他工具和指南來支援安全啟動證書轉換：

• 可開機媒體更新：更新 Windows 可開機媒體以使用 PCA2023 簽署的開機管理程式 - Microsoft支援
  使用 PowerShell 指令檔 Make2023BootableMedia.ps1，將 2023 Secure Boot 憑證導入 WinPE、ISO 或 USB 媒體。
• Azure 受信任的啟動 VM：安全開機 UEFI 金鑰 - Azure 虛擬機器 |Microsoft瞭解
  Azure 支援使用 Azure 計算庫和 ARM 範本的自訂 UEFI 安全開機金鑰注入。這對於需要自定義 PK、KEK、DB 或 DBX 金鑰的組織非常有用。
• 手動 UEFI 更新：設定安全開機UEFI （安全開機） |Microsoft Learn
  Advanced 使用者可以使用 Set-SecureBootUEFI PowerShell cmdlet 手動更新安全開機變數。這需要已簽署的套件和管理權限。

這些工具適用於IT管理的環境，應謹慎使用。Dell Technologies 建議您在實施任何手動或指令檔變更之前，先檢閱 Microsoft 的官方說明文件。