『セキュアブート証明書の期限切れ』のクチコミ掲示板

[kakavi]

最近話題になっている「セキュアブート証明書の期限切れ」の確認をしてみましたが、本機は古い証明書のままでした。
BIOSアップデート等もまだ提供されていないようですね。
6月までまだ時間はありますが、本機はアップデートしてくれるか、ちょっと不安ですね。
さすがにまだ買い換えるには早すぎると思うのですが…。

書込番号：26432572

[Nisizaka]

HP Pavilion 15-eh1000は、サポート期間が3年の様子で、既にサポート期限切れのためセキュアブート証明書の更新は提供しない様子です。
理由として、ドライバーダウンロードで対象のBIOSアップデートの対象モデルだとWindows 11 24H2がOSの選択肢にあるのですが、 Pavilion 15-eh1000は、Windows 11 22H2までだったためです。
同じく自分の所有するセキュアブート更新対象外のProBook 430 G6も同様にWindows 11 22H2まででした。

セキュアブート更新対象外のPCの場合、今年の6月以降起動しなくなるについてはこれはありません。
現在の証明書でもそのまま起動します。

Windowsはまずセキュア ブート署名データベース(DB)に起動可能な証明書リストが登録されていて、この判定で起動します。
そしてBIOS側の証明書(キー登録キー、KEK)が更新されてWindowsが起動するとWindows Updateでセキュア ブート失効署名データベース(DBX)が更新されます。
この語は、古い証明書がブート対象外となるため起動しなくなります。

要はセキュア ブート失効署名データベース(DBX)が更新されない限り、期限切れの証明書でも起動すると理解して大丈夫です。

書込番号：26450712

[kakavi]

ありがとうございます。
更新は提供されないのですね…残念です。
セキュア ブート失効署名データベース(DBX)が更新されなければ大丈夫、ということですが、逆に言えば更新されればアウト、ということですね。
そしていつ更新されるか？ですが、たいていこういう古いセキュリティをいつ切るか？というのは、実際に古いセキュリティ証明書を突破しうる攻撃が広く観測されるようになると割とあっさり切られるのではないかと思います。
古いセキュリティ証明書を突破する攻撃は既にいくつか存在するようですので、いつ切られるかと不安な日々を過ごすことになりそうですね。せめてPC価格高騰が落ちくいて、乗り換え先PCが調達できるまで耐えてほしい所ですが…こればかりはどうなるかわからないですね。

書込番号：26450851

[Nisizaka]

＞kakaviさん
可能性としてありうるのは、Windows 12が登場した時ではないでしょうか。
OSのアップデート時に証明書が失効しているのでアップデート対象外の可能性があります。

Windows 11で今まで使えて起動しなくなるのは米国だと訴訟問題に発展するので基本的にはセキュア ブート失効署名データベース(DBX)が通常利用で強制更新されることはないと思います。　

書込番号：26450917

[kakavi]

＞Nisizakaさん
ありがとうございます。

うーん、でも仮に起動しなくなることはないにしても、証明書の有効期限が切れた状態では一部のセキュリティ保護が受けらませんとMSも言っているので、起動できるから無問題、とはならず、やっぱりモヤモヤは残りますよねー。

https://support.microsoft.com/ja-jp/help/5079373
----------------------------------------------------------
証明書の有効期限が切れた場合の動作
デバイスが新しい証明書なしで有効期限に達した場合でも、正常に起動して動作します。 Standard Windows 更新プログラムは引き続きインストールされます。 ただし、デバイスは、初期ブート プロセスの新しいセキュリティ保護を受け取れなくなります。 これには、Windows ブート マネージャー、セキュア ブート データベースと失効リストの更新、ブート チェーンで新しく検出された脆弱性の修正が含まれます。

新しい脅威が発生すると、この期限切れの状態のデバイスは徐々に保護されなくなります。 セキュア ブート信頼に依存するシナリオ (BitLocker のセキュリティ強化、ブート レベルのコード整合性、サード パーティ製のブートローダーやオプション ROM など) も、セキュリティで保護されたブート信頼の更新が必要な場合に影響を受ける可能性があります。
----------------------------------------------------------

さて、証明書期限切れを扱った（煽った？）YouTube動画のコメントで、証明書の更新がされていないことを嘆くコメントをちょいちょい見かけますが、その中で機種名まで書いてある奴を探すと、Surface, Lenovo, そして HP が結構多い気がします。

ただ、古めのHPでも新しい証明書だった、という人もいます。
勝手な想像ですが、これはたぶん「企業リース落ちのPC」なのではないかと思います。
HPの以下サイトを見ると、「2018年以降のHPの法人向けPCはすべて対応する」とありました。

https://support.hp.com/jp-ja/document/ish_13070367-13192105-16
----------------------------------------------------------
プラットフォームのリリース年によって必要な BIOS アップデート
2018年以降にリリースされた、すべてのセキュアブート対応HP法人向けPCは、新しい証明書でサポートされます。サポート対象となるには、システムが (a) Windows 11またはWindows 10 IoT LTSCを搭載しており、(b) Windows 11用のWindowsプロセッサ要件を満たしている必要があります。
----------------------------------------------------------

うーん、リース落ちの中古品はどうも買う気がしなかったのですが、まさかこんなメリットがあったとは（苦笑

書込番号：26451427

[kakavi]

ちなみに、ついに4月更新で「Windows セキュリティ→デバイス セキュリティ」で、セキュアブート証明書の更新状態が見られるようになりましたね。以下のように表示されています。

「セキュアブートはオンになっていますが、更新する必要がある古いブート信頼構成がデバイスで使用されています…」

以前はターミナルを管理者で起動して変なコマンドを叩かないといけなかったので、Windows標準機能で確認できるようになったのはありがたいというか、より脅迫されてる感があるというか…（苦笑2

書込番号：26451433

[Nisizaka]

＞kakaviさん
＞Surface, Lenovo, そして HP
Surfaceって、MSさ〜んw
三大メーカーのDellが入っていないのは、企業ラインと個人ラインの製品を分けていない為かもしれませんね。
LenovoとHPは個人ライン(Thinkpad以外とOmniBook)と企業ライン(Thinkpad、ProBook、EliteBook)が分かれているのもあると思います。
自分はProBookなので1台除いては全て対象になっています。
ちなみにHPは企業向けモデルも普通に個人で購入できるので、長く使う場合は企業向けモデルを買った方が良いかもしれません。

2024年から欧州サイバーレジリエンス法が施行され、スマホの方が有名ですが、PCもCEマークが付いている事から対象となり製造終了後5年間はセキュリティ対応の義務が発生します。(今回の証明書も含まれる)
対応していないと欧州で製品が販売できなくなるので死活問題です。
この為、グローバルモデルで今販売しているPCは少なくとも製造終了後5年間はサポートすると思われます。
注意点としては欧州の規制なので、CEマークが付いていない日本やアジア専売モデルはこの限りでは無いですが...。

書込番号：26451498

[kakavi]

＞長く使う場合は企業向けモデルを買った方が良いかもしれません。

あいやまったくです。
NisizakaさんはすべてProBookをチョイスとのこと、先見の明が素晴らしいです。

＞2024年から欧州サイバーレジリエンス法が施行され

これは知りませんでした。
欧州の規制は、ときに中の人にガジェット好きがいるんじゃないかと思わされる時があります。
iPhone を USB-C にさせたのも欧州発でしたよね確か。

処々アドバイスいただきありがとうございました。

書込番号：26451522