Windows Update’te sessiz bir güvenlik değişikliği başladı

Microsoft, Windows ekosisteminde uzun süredir sessizce çalışan ama kritik öneme sahip bir güvenlik bileşeni için süreci resmen başlattı. Şirket, Secure Boot kapsamında kullanılan ve ilk kez 2011 yılında devreye alınan dijital sertifikaları yeniliyor. Güncelleme, doğrudan Windows Update üzerinden dağıtılıyor ve belirli sistemlerde ek donanım yazılımı güncellemesi gerektirebiliyor. Burada temel mesele, eski sertifikaların güvenlik açısından artık yeterli görülmemesi.

Secure Boot, Windows’un açılış aşamasında yalnızca imzalı ve güvenilir kodların çalışmasına izin veriyor. Böylece işletim sistemi yüklenmeden önce devreye girebilen zararlı yazılımların önü kesiliyor. Microsoft bu mekanizmayı yıllar içinde daha da genişletti; süreç, Microsoft tarafından geliştirilen Windows 11 için kurulum şartı hâline geldi. Bunun yanında rekabetçi çok oyunculu oyunlarda kullanılan anti-cheat sistemleri de Secure Boot’a bağımlı çalışıyor; Valorant, Call of Duty: Black Ops 6, Call of Duty: Black Ops 7 ve Battlefield 6 bu liste içinde yer alıyor.

Microsoft’un verdiği bilgiye göre, yeni sertifikalar yüklenmediğinde sistemler çalışmayı sürdürüyor. Ne var ki bu noktadan sonra Windows, “azaltılmış güvenlik” olarak tanımlanan bir seviyeye geçiyor. Bu seviye, gelecekte sunulacak önyükleme tabanlı güvenlik önlemlerinin alınamaması anlamına geliyor. Başka bir ifadeyle, daha eski Windows bileşenlerini hedef alan zararlı yazılımlar karşısında koruma katmanı giderek zayıflıyor.

Bu tablo, özellikle uzun süre güncelleme almadan kullanılan bilgisayarlar için önem taşıyor. Microsoft, destek dışı Windows sürümlerinin bu yeni Secure Boot sertifikalarını almayacağını açıkça belirtiyor. Güncelleme yalnızca Windows 11 sistemlere ve Genişletilmiş Güvenlik Güncellemeleri (ESU) kapsamında tutulan Windows 10 bilgisayarlara ulaşıyor. Burada işletim sistemi tercihi, doğrudan güvenlik seviyesiyle bağlantılı hâle geliyor.

Microsoft sertifika değişimini neden şimdi devreye alıyor

Microsoft cephesinde bu yenileme, tek seferlik bir hamle olarak kalmayacak. Şirket, kriptografik güvenliğin zaman içinde değiştiğini ve sertifikaların belirli aralıklarla güncellenmesi gerektiğini vurguluyor. Eski sertifikalar, yeterince güçlü olsalar bile modern saldırı teknikleri karşısında potansiyel zayıf halka hâline gelebiliyor. Bu nedenle mevcut sertifikalar devreden çıkarılıyor ve yeni anahtarlar sisteme ekleniyor.

Dağıtım süreci büyük ölçüde otomatik ilerliyor. Çoğu kullanıcı, Windows Update’i kontrol ettiğinde yeni Secure Boot sertifikalarını içeren güncellemeyi doğrudan görebiliyor. Bunun yanında bazı sistemler, anakart ya da cihaz üreticisinin yayınladığı bir UEFI/BIOS güncellemesine ihtiyaç duyabiliyor. Microsoft, bu noktada Dell ve HP gibi büyük üreticilerle birlikte çalıştığını ve geçişin sorunsuz ilerlemesi için koordinasyon sağladığını aktarıyor.

2024 yılında üretilen birçok yeni bilgisayar, güncel Secure Boot sertifikalarıyla birlikte piyasaya çıktı. Şirket, geçen yıl sevk edilen cihazların neredeyse tamamında bu sertifikaların hazır olduğunu ifade ediyor. Kurumsal tarafta ise BT ekipleri, bu değişiklik konusunda daha önce bilgilendirildi ve geçiş planları buna göre şekillendirildi.

Önümüzdeki aylarda Windows Security uygulaması içinde Secure Boot sertifikalarının durumu daha net biçimde izlenebilecek. Böylece sistemde hangi sertifikanın aktif olduğu ve güncellemenin uygulanıp uygulanmadığı doğrudan görülebilecek.