安全启动证书即将到期？微软回应来了

先说一个消息——6 月 4 日，微软办了第二场“Ask Microsoft Anything”直播活动。这次专门回应了 Windows 11 安全启动证书即将到期的问题。

直接看重点：那份 Microsoft Corporation KEK CA 2011 证书确实会在 6 月 24 日过期。但这不意味着你的电脑从 6 月 25 号起就开不了机。别慌，往下看。

证书过期的真正影响是什么？

微软官方解释得很清楚：已经签名的 DB（允许数据库）更新、注册表键触发机制和计划任务，在证书过期后照样正常工作。

真正需要留意的是另一件事。如果设备没有提前装上新版（2023 版）KEK 证书，那么从 6 月 24 日开始，微软就无法再为新的 DBX 吊销载荷签名了。

换句话说，未来出现新的恶意引导程序时，你的设备可能收不到封禁更新。安全防护会一点点变弱。这才是证书到期的关键影响所在。

另一个重要节点：10 月

再划一个时间节点：10 月。届时 DB 相关证书也会到期，但中间仍能签发少量的新引导管理器。所以现在到 10 月之间的过渡期，其实是个窗口期。

企业 IT 管理员：6 月补丁是关键

对企业 IT 管理员而言，6 月的补丁更新是真正的关键节点。微软表示，在 6 月 Patch Tuesday 更新之后，大多数主流设备会进入所谓的“高置信”状态，由 Intune 自动处理证书更新。

但这里有个细节容易被忽略：设备分桶不光看品牌和型号，还细化到了固件版本和固件日期。哪怕同一个型号的两台机器，因为固件版本不同，可能处于完全不同的更新状态。

设备状态“temporarily paused”怎么办？

如果你的设备状态显示“temporarily paused”，通常意味着需要 OEM 固件更新。这是因为系统已经检测到固件层存在兼容风险，贸然强行更新可能引发失败、蓝屏甚至 BitLocker 循环锁死。这种情况下，等厂商推送新固件才是正解。

不要等待，主动更新策略

微软也特别提醒了一件事：不要一直等着所有设备自动进入高置信。对于那些白牌机、较老的服务器以及遥测数据不足的设备，建议尽快通过注册表或者 Intune 设置目录策略，手动触发更新。

最稳妥的做法是：

• 先从每类机型或每个固件变体中挑一台活跃设备做试点。
• 确认成功后逐步扩大范围。

这样既能降低风险，又能把成功的遥测数据回传给微软，帮助同类设备更快进入高置信库。

总结

一句话总结：证书过期不会立刻让系统瘫痪，但安全更新的“上游阀门”会逐渐关上。趁窗口期还在，该动手的动手，该试点的试点，别等到问题堆到眼前才着急。

《夸克》非常好用的免费AI浏览器

下载APP查看