Secure Boot tanúsítvány lejárat 2026: 5 kritikus lépés a géped védelméhez
A Secure Boot tanúsítvány lejárat nem egy távoli, elméleti probléma: 2026 júniusában a Microsoft 2011-es kriptográfiai tanúsítványai érvényüket vesztik, és ha a géped nem kapja meg az új 2023-as tanúsítványokat, a rendszerindítás biztonsági védelme fokozatosan gyengül. Ebben a cikkben megmutatjuk, pontosan mit jelent ez, kit érint, és mit tehetsz most, hogy ne érjen meglepetés.
Tartalomjegyzék
- Mi az a Secure Boot, és miért fontos neked?
- Mi történik 2026 júniusában?
- Kit érint a Secure Boot tanúsítvány lejárat?
- A BlackLotus bootkit: valós fenyegetés, nem elmélet
- Zöld, sárga, piros: mit mutat a Windows Security?
- 5 kritikus lépés a géped védelméhez
- Windows 10 és a Secure Boot tanúsítvány lejárat
- Gyakran ismételt kérdések
Mi az a Secure Boot, és miért fontos neked?
Képzeld el, hogy a számítógéped bekapcsolásakor van egy biztonsági őr, aki ellenőrzi minden egyes szoftverelem „személyazonosságát” még azelőtt, hogy a Windows betöltődne. Ez a biztonsági őr a Secure Boot.
A Secure Boot a UEFI firmware része, és 2012 óta szinte minden Windows-os PC-ben megtalálható. A működése egyszerű elveken alapul: kriptográfiai tanúsítványok segítségével ellenőrzi, hogy a rendszerindítás során kizárólag megbízható, digitálisan aláírt szoftverek fussanak. Ha bármi gyanúsat észlel (módosított bootloader, ismeretlen firmware-komponens), megállítja a folyamatot.
Ez azért létfontosságú, mert a rendszerindítás az a pillanat, amikor a géped a legsebezhetőbb. A hagyományos vírusirtók ilyenkor még nem futnak, így ha egy támadó itt jut be, a teljes operációs rendszert átveheti anélkül, hogy a felhasználó bármit észlelne.
A bizalmi lánc felépítése
A Secure Boot egy hierarchikus rendszert használ. A csúcson a Platform Key (PK) áll, amelyet jellemzően a hardvergyártó (Dell, HP, Lenovo stb.) kezel. Ez engedélyezi a Key Enrollment Key (KEK) frissítését, amely viszont két kritikus adatbázist felügyel: az engedélyezett aláírások listáját (DB) és a tiltott aláírások listáját (DBX).
Amikor bekapcsolod a géped, a firmware a DB-ben ellenőrzi az indítószoftverek aláírásait. Ha az aláírás szerepel a listán, a szoftver futhat. Ha a DBX-ben van, blokkolva lesz. Mindez még a Windows betöltése előtt megtörténik.
Mi történik 2026 júniusában?
A válasz röviden: a Microsoft által 2011-ben kibocsátott Secure Boot tanúsítványok lejárnak. Ez nem egy frissítés, nem egy szokásos patch, hanem egy alapvető kriptográfiai határ, amelyet nem lehet figyelmen kívül hagyni.
A Microsoft maga is úgy jellemezte ezt a folyamatot, hogy ez a Secure Boot egyik legnagyobb koordinált biztonsági karbantartási művelete a Windows ökoszisztéma történetében. 15 év után először kell lecserélni azokat a tanúsítványokat, amelyekre a rendszerindítás biztonsága épül.
Mi történik a lejárat után?
Fontos tisztázni: a géped nem fog hirtelen leállni vagy bootolhatatlanná válni június 24-én. A Windows továbbra is elindul, és a szokásos frissítések is telepíthetők maradnak. Viszont a következő dolgokat veszíted el:
- A rendszerindítási folyamat biztonsági frissítéseit (Windows Boot Manager patchek).
- A Secure Boot adatbázisok és visszavonási listák (DBX) frissítési lehetőségét.
- Az új, 2023-as tanúsítvánnyal aláírt harmadik féltől származó szoftverek megbízhatóságát.
- Az újonnan felfedezett rendszerindítási szintű sebezhetőségek elleni védelmet.
A Microsoft ezt az állapotot „csökkent biztonsági állapotnak” (degraded security state) nevezi. Gyakorlatilag onnantól a géped azon a védelmi szinten marad, ahol a lejárat pillanatában volt, és semmilyen új boot-szintű fenyegetés ellen nem kaphat védelmet.
Kit érint a Secure Boot tanúsítvány lejárat?
Röviden: szinte mindenkit. Minden 2012 óta gyártott Windows-os gépet, amelyen Secure Boot engedélyezve van. Ez magában foglalja:
- Windows 11-et futtató asztali gépeket és laptopokat.
- Windows 10-es rendszereket (függetlenül attól, hogy ESU-ban vannak-e).
- Windows Servert (2012-től kezdve minden verziót).
- Virtuális gépeket (Hyper-V, VMware, Azure).
A leginkább kiszolgáltatott csoportok: azok a felhasználók, akik még támogatás nélküli Windows 10-et futtatnak (ESU nélkül), régebbi hardvert használnak, amelyhez a gyártó már nem ad firmware-frissítést, vagy manuálisan módosították a Secure Boot konfigurációt (például dual-boot Linux rendszerrel).
A BlackLotus bootkit: valós fenyegetés, nem elmélet
Ha azt gondolod, hogy a Secure Boot tanúsítványok lejárata csak elméleti kockázat, gondolj a BlackLotus-ra. Ez az első UEFI bootkit, amely képes volt megkerülni a Secure Boot védelmet még teljesen frissített Windows 11 rendszereken is.
A BlackLotus a CVE-2023-24932 sebezhetőséget használja ki. A támadás lépései a következők: a támadó rendszergazdai jogosultságot szerez (phishing, ellopott jelszó vagy más exploit által), majd az EFI rendszerpartícióra írja a saját módosított bootloader fájljait. A következő újraindításkor a rendszer a kompromittált környezetet tölti be, jellemzően kikapcsolva az Endpoint Security eszközöket (például a Microsoft Defendert) még az operációs rendszer indulása előtt.
A BlackLotus különösen veszélyes, mert a hagyományos vírusirtó szoftverek nem képesek észlelni: a bootkit már a Windows előtt aktiválódik, kikapcsolja a BitLockert, a HVCI-t (hypervisor-védett kódintegritás) és a Microsoft Defender Antivirus-t is. Az NSA (az Egyesült Államok Nemzetbiztonsági Ügynöksége) külön útmutatót adott ki a védekezéshez.
Zöld, sárga, piros: mit mutat a Windows Security?
A Microsoft 2026 áprilisától új funkciót vezetett be a Windows Security alkalmazásba, amellyel közvetlenül ellenőrizheted a Secure Boot tanúsítványaid állapotát. Ez a Device security > Secure Boot menüpont alatt található.
A rendszer egy egyszerű, színkódolt jelzőrendszert használ:
- Zöld pipa: A géped megkapta az összes szükséges tanúsítványfrissítést, és a frissített Boot Manager is telepítve van. Nincs további teendő.
- Sárga figyelmeztető jel: A tanúsítványfrissítés folyamatban van, vagy OEM firmware-frissítés szükséges a gyártótól. Lépned kell, de nem kritikus azonnal.
- Piros stop ikon: A géped nem kapta meg a frissített tanúsítványokat, és a jelenlegi tanúsítványok már lejártak vagy hamarosan lejárnak. Azonnali cselekvés szükséges.
Hogyan ellenőrizd gyorsan?
Ha nincs kedved a Windows Security alkalmazást keresgetni, van egy gyorsabb módszer is. Nyomd meg a Windows + R billentyűkombinációt, írd be: msinfo32, majd nyomj Entert. A megnyíló Rendszerinformáció ablakban keresd a „Secure Boot állapot” sort. Ha azt látod, hogy „Be”, a Secure Boot aktív. Ha „Ki” vagy „Nem támogatott”, a géped egyáltalán nem használja a Secure Boot védelmet.
5 kritikus lépés a géped védelméhez
Most, hogy érted a helyzetet, nézzük, mit tehetsz konkrétan. A jó hír: ha Windows 11-et futtatsz és engedélyezed a Microsoft automatikus frissítéseit, nagy eséllyel automatikusan megkapod a szükséges tanúsítványokat. De érdemes nem a véletlenre bízni.
Ellenőrizd a Secure Boot állapotát
Nyisd meg a Windows Security alkalmazást, navigálj az Eszközbiztonság (Device Security) > Secure Boot menüpontra. Nézd meg a színkódot és a szöveges útmutatást. Ha zöld pipa van, és a szöveg megerősíti, hogy minden szükséges tanúsítványfrissítés megtörtént, nincs további teendőd.
Ha PowerShellben is ellenőrizni akarod, futtasd rendszergazdaként a következőt:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Ha a válasz True, a 2023-as tanúsítvány már telepítve van a Secure Boot adatbázisodban.
Telepítsd az összes függőben lévő Windows-frissítést
A Microsoft a havi biztonsági frissítéseken keresztül terjeszti az új Secure Boot tanúsítványokat. Menj a Beállítások > Windows Update menübe, és telepíts mindent, ami elérhető. Különösen figyelj az áprilisi és májusi frissítésekre, amelyek a tanúsítványfrissítési folyamat kulcselemeit tartalmazzák.
Ne halaszd el a frissítéseket, és ne kapcsold ki az automatikus frissítéseket. A tanúsítványcsere csak akkor tud automatikusan megtörténni, ha a Windows Update zavartalanul fut.
Keresd meg és telepítsd a gyártói firmware-frissítéseket
A Secure Boot tanúsítványcsere nem pusztán Windows-frissítés kérdése. A folyamat alapja a hardvergyártó (OEM) által biztosított firmware-frissítés. A Microsoft TechCommunity útmutatója kifejezetten kiemeli: először a firmware-t kell frissíteni, és utána tudja a Windows alkalmazni az új tanúsítványokat.
Látogasd meg a géped gyártójának támogatási oldalát (Dell, HP, Lenovo, ASUS, Acer stb.), és keresd a legfrissebb BIOS/UEFI firmware-frissítést. A nagyobb gyártók, mint a HP és a Lenovo, már együttműködnek a Microsofttal a frissítések kiadásában.
Ne kapcsold ki a Secure Bootot
Ez talán a legfontosabb tanács. Ha problémát tapasztalsz, a kísértés nagy lehet, hogy kikapcsold a Secure Bootot a BIOS-ban. Ne tedd.
A Microsoft kifejezetten figyelmeztet: a Secure Boot ki- és visszakapcsolása törölheti a már telepített új tanúsítványokat, és visszaállíthatja az alapértelmezett (régi) konfigurációt. Ráadásul a kikapcsolt Secure Boot jelentősen csökkenti a védelmet a bootkit típusú kártevők ellen.
Fontold meg a Windows 11-re váltást
Ha Windows 10-et futtatsz, a Secure Boot tanúsítvány lejárat egy újabb érv amellett, hogy mielőbb válts Windows 11-re. A Windows 11 alapértelmezetten megköveteli a TPM 2.0-t és az engedélyezett Secure Bootot, ami magasabb szintű védelmet biztosít.
A Windows 11-es gépek automatikusan megkapják a szükséges tanúsítványfrissítéseket a rendszeres Windows Update-en keresztül, minimális felhasználói beavatkozással.
Windows 10 és a Secure Boot tanúsítvány lejárat
Ha még Windows 10-et használsz, a helyzeted összetettebb. A Microsoft 2025. október 14-én megszüntette a Windows 10 ingyenes támogatását. Ez azt jelenti, hogy a támogatás nélküli Windows 10 rendszerek nem kapják meg automatikusan az új Secure Boot tanúsítványokat.
A Statcounter 2026 eleji adatai szerint a Windows-felhasználók mintegy 35%-a továbbra is Windows 10-et futtat. Ez több száz millió gépet jelent, amelyek potenciálisan érintettek.
Három lehetséges forgatókönyv
1. Windows 10 ESU-val (Extended Security Updates): Ha regisztráltál az ESU programra, a géped továbbra is kap biztonsági frissítéseket, beleértve a Secure Boot tanúsítványfrissítéseket is. A fogyasztói ESU 2026. október 13-ig érvényes. Ez egy átmeneti megoldás, ami időt ad a migrációra.
2. Windows 10 ESU nélkül: Ebben az esetben a géped nem kapja meg az új tanúsítványokat automatikusan. A Secure Boot védelmed fokozatosan gyengül, és 2026 júniusától csökkent biztonsági állapotba kerülsz. Ez a legkockázatosabb forgatókönyv.
3. Azonnali váltás Windows 11-re: Ez a legbiztonságosabb és leginkább javasolt megoldás. A Windows 11 automatikusan kezeli a tanúsítványfrissítést, és hosszú távú támogatást kap.
A fontos dátumok egy helyen
Gyakran ismételt kérdések
Le fog állni a gépem június 24. után?
Nem. A géped továbbra is elindul és normálisan működik. A szokásos Windows-frissítések is telepíthetők maradnak. Amit elveszítesz, az a boot-szintű biztonsági frissítések fogadásának képessége és az új kártevők elleni védelem a rendszerindítás során.
Honnan tudom, hogy a gépem már megkapta az új tanúsítványokat?
Nyisd meg a Windows Security alkalmazást, és nézd meg a Device Security > Secure Boot részt. Ha zöld pipa és a megfelelő megerősítő szöveg jelenik meg, készen vagy. Alternatívaként a PowerShellben is ellenőrizheted (lásd a fenti 1. lépést).
Mi van, ha a géped gyártója már nem ad ki firmware-frissítést?
Sajnos ebben az esetben a géped nem biztos, hogy képes fogadni az új tanúsítványokat. A Windows Security alkalmazás piros jelzéssel fogja ezt jelezni. Ilyenkor a legbiztonságosabb megoldás egy új, Windows 11-kompatibilis hardverre váltás, amely már gyárilag tartalmazza a 2023-as tanúsítványokat.
Érint ez macOS-t vagy Linuxot is?
A Microsoft közleménye szerint a tanúsítványlejárat más platformokat is érinthet, de a hivatalos útmutatás kizárólag Windows rendszerekre vonatkozik. Linux rendszerek esetén, amelyek Windows-szal dual-boot módban futnak, a Windows frissíti azokat a tanúsítványokat, amelyekre a Linux is támaszkodik.
Ne várd meg a lejáratot, cselekedj most
A legbiztosabb megoldás a Windows 11 Pro-ra váltás, amellyel automatikusan megkapod az új Secure Boot tanúsítványokat. A MasterKeys-en audit-biztos, EGT-n belülről származó eredeti Microsoft licenceket találsz, teljes körű garanciával és magyar nyelvű támogatással.
Windows 11 Pro Licenc Vásárlása