El estado de Secure Boot y la revocación de los antiguos cargadores asociados a BlackLotus son comprobaciones distintas. Secure Boot indica si el firmware UEFI valida el software de arranque; para conocer la revocación de los cargadores antiguos hay que atender a la lista DBX. Microsoft separa esa revocación tanto de las actualizaciones habituales de Windows como de la caducidad de un certificado.
Qué comprueba Secure Boot y qué tiene que ver BlackLotus
Secure Boot es una función de UEFI que valida las firmas del software antes de que arranque Windows. El firmware guarda las firmas permitidas en la base de datos DB y las que deben rechazarse en DBX.
Microsoft explica que BlackLotus aprovecha la vulnerabilidad CVE-2022-21894, conocida como Baton Drop, para hacer retroceder los cargadores de Windows a versiones vulnerables que no figuran en DBX. Las medidas basadas en versiones y las entradas de revocación que Microsoft añadió en mayo de 2023 tuvieron varios casos de elusión. La revocación de Microsoft Windows Production PCA 2011 es una medida más amplia para retirar la confianza en los cargadores firmados con ese certificado, según la guía técnica de Microsoft.
Caducidad, renovación de certificados y revocación
Caducar un certificado no revoca automáticamente la confianza en los cargadores firmados con él. Microsoft distingue esa caducidad de dos cambios en el firmware: incorporar certificados de reemplazo a DB y añadir revocaciones a DBX.
Las fechas de caducidad indicadas por Microsoft para los certificados de 2011 ya han pasado. La tabla muestra cada función y su reemplazo de 2023; la caducidad y la revocación DBX son estados distintos.
| Certificado de 2011 y ámbito | Fecha de caducidad | Reemplazo de 2023 | Base de datos UEFI |
| Microsoft Corporation KEK CA 2011 | 24 de junio de 2026 | Microsoft Corporation KEK 2K CA 2023 | KEK |
| Microsoft UEFI CA 2011, cargadores de terceros y aplicaciones EFI | 27 de junio de 2026 | Microsoft UEFI CA 2023 | DB |
| Microsoft UEFI CA 2011, firma de Option ROM | 27 de junio de 2026 | Microsoft Option ROM UEFI CA 2023 | DB |
| Microsoft Windows Production PCA 2011, cargador de Windows | 19 de octubre de 2026 | Windows UEFI CA 2023 | DB |
Microsoft señala que los dispositivos sin los certificados nuevos pueden seguir arrancando y recibiendo las actualizaciones normales de Windows, aunque dejan de recibir nuevas protecciones de seguridad de arranque y actualizaciones relacionadas con Secure Boot. La página de Microsoft sobre la transición de certificados detalla las funciones y ubicaciones de esos certificados.
Qué preparar antes de revocar PCA 2011
Microsoft establece un orden para aplicar la revocación: primero hay que actualizar DB y desplegar cargadores firmados con Windows UEFI CA 2023; después se aplica la revocación correspondiente en DBX. Antes de extender el cambio, recomienda probarlo en dispositivos representativos, mantener actualizado el firmware y guardar las claves de recuperación de BitLocker.
La secuencia importa porque, en un equipo con Secure Boot activo, la revocación impide arrancar cualquier cargador de Windows firmado con PCA 2011. También pueden dejar de arrancar medios antiguos de recuperación y USB, además de componentes de arranque por red, como WSD, PXE o HTTP.
Antes de aplicar la revocación DBX, prepara primero DB y los cargadores de reemplazo, y prueba el cambio en equipos representativos.
Qué indica una comprobación de estado
Una comprobación de Secure Boot informa sobre el estado de esa función; la lista DBX refleja las firmas revocadas. Son datos sobre la configuración de arranque, no un diagnóstico de una infección que ya esté presente en el equipo.
