Nee: een bijgewerkte Windows-installatie en het verlopen van Microsoft Windows Production PCA 2011 bewijzen op zichzelf niet dat de intrekking in DBX op jouw pc is toegepast. Microsoft behandelt het vernieuwen van toegestane certificaten in DB en het intrekken van oud vertrouwen via DBX als aparte stappen (Microsofts uitleg over Secure Boot-certificaten en de richtlijn voor kwetsbare Windows-opstartladers).
Beoordeel Secure Boot, het vervangende certificaat in DB en de PCA 2011-intrekking in DBX als drie afzonderlijke statussen.
Waarom een Windows-update de DBX-status niet vertelt
Secure Boot is een functie van UEFI-firmware die vóór het starten van Windows controleert of software is ondertekend met een vertrouwd certificaat. De database DB bevat toegestane handtekeningen; DBX bevat handtekeningen en certificaten die zijn ingetrokken. Een certificaat toevoegen aan DB vernieuwt dus het vertrouwen in nieuwe opstartsoftware. Een vermelding in DBX blokkeert juist oudere software.
Microsoft beschrijft dat BlackLotus gebruikmaakt van CVE-2022-21894, ook bekend als Baton Drop, om Windows-opstartladers terug te zetten naar kwetsbare versies die niet in DBX staan. Microsoft meldde dat eerdere maatregelen uit mei 2023 in meerdere gevallen konden worden omzeild en beschreef de intrekking van Microsoft Windows Production PCA 2011 als een bredere maatregel. Een algemene Windows-update en die afzonderlijke intrekking zijn daarom geen uitwisselbare statussen.
Verlopen certificaten en vervangers uit 2023
Microsoft vermeldde vier certificaten uit 2011 met een vervaldatum in 2026. De vervaldatum van Microsoft Windows Production PCA 2011 was 19 oktober 2026. Dat verloop trekt het vertrouwen in oude opstartladers niet automatisch in: de intrekking daarvan gebeurt via DBX. De vervangende certificaten en hun locaties in de UEFI-databases verschillen per functie.
| Certificaat uit 2011 en functie | Vervaldatum | Vervanger uit 2023 | UEFI-database |
| Microsoft Corporation KEK CA 2011 | 24 juni 2026 | Microsoft Corporation KEK 2K CA 2023 | KEK |
| Microsoft UEFI CA 2011, voor opstartladers van derden en EFI-apps | 27 juni 2026 | Microsoft UEFI CA 2023 | DB |
| Microsoft UEFI CA 2011, voor option-ROM's | 27 juni 2026 | Microsoft Option ROM UEFI CA 2023 | DB |
| Microsoft Windows Production PCA 2011, voor Windows-opstartladers | 19 oktober 2026 | Windows UEFI CA 2023 | DB |
Op apparaten zonder de nieuwe certificaten kunnen Windows en gewone updates blijven starten en installeren. Microsoft zegt wel dat die apparaten geen nieuwe beveiligingen voor de vroege opstartfase en bijbehorende Secure Boot-updates ontvangen.
Wat vóór de PCA 2011-intrekking moet gebeuren
Microsofts volgorde is: werk eerst DB bij en zorg dat opstartladers zijn uitgerold die met Windows UEFI CA 2023 zijn ondertekend. Pas daarna volgt de intrekking van PCA 2011 in DBX. Microsoft adviseert de wijziging vooraf te testen op representatieve apparaten, de firmware actueel te houden en BitLocker-herstelsleutels veilig te stellen.
Na de intrekking starten op een apparaat met Secure Boot geen Windows-opstartladers meer die met PCA 2011 zijn ondertekend. Dat kan ook oudere herstelmedia, USB-opstartmedia en onderdelen voor opstarten via het netwerk treffen. Zonder voorbereiding kan een apparaat daardoor niet meer vanaf verouderde herstel- of opstartmedia starten.
Wat een statuscontrole wel en niet zegt
Een controle van Secure Boot vertelt of die UEFI-functie actief is. De status van DBX gaat over ingetrokken vertrouwen in opstartsoftware. Om de relevante bescherming te beoordelen, zijn dat dus verschillende vragen: staat Secure Boot aan, is het vervangende Windows-certificaat in DB aanwezig en is PCA 2011 in DBX ingetrokken?
Geen van die configuratiestatussen is een scan op malware die al op een pc aanwezig is. Een Secure Boot- of DBX-status stelt dus niet vast of een systeem al met BlackLotus is besmet.
