Uma instalação atualizada do Windows ou o vencimento de um certificado não comprovam que a revogação do Microsoft Windows Production PCA 2011 foi aplicada no DBX. A Microsoft trata a renovação dos certificados autorizados na DB e a revogação de certificados antigos no DBX como operações distintas. Veja a orientação da Microsoft sobre a transição de certificados e a sequência de revogação de gerenciadores de inicialização.
Para entender a proteção, verifique separadamente se o Secure Boot está ativo, se os certificados substitutos estão na DB e se a revogação antiga está no DBX.
O que o estado do Windows atualizado informa
O Secure Boot é um recurso do UEFI, o firmware que inicia o computador, que valida as assinaturas dos programas carregados antes do sistema operacional. A DB guarda assinaturas autorizadas; a DBX, assinaturas e certificados revogados.
Por isso, o status geral das atualizações do Windows não revela, por si só, se uma revogação específica foi registrada no DBX. A expiração do Microsoft Windows Production PCA 2011 também não revoga automaticamente a confiança nele. A Microsoft indica que computadores sem os novos certificados de 2023 podem continuar inicializando e recebendo atualizações comuns do Windows, mas deixam de receber novas proteções de segurança de pré-inicialização e atualizações relacionadas ao Secure Boot.
Como o BlackLotus se relaciona com a revogação
A Microsoft descreve o BlackLotus como um bootkit que explora a vulnerabilidade Baton Drop, CVE-2022-21894, para reverter gerenciadores de inicialização do Windows a versões vulneráveis que não constam no DBX. Segundo a empresa, as medidas baseadas em versões introduzidas em maio de 2023 tiveram casos de bypass. A revogação mais abrangente do Microsoft Windows Production PCA 2011 impede que gerenciadores de inicialização assinados por esse certificado sejam carregados em dispositivos com Secure Boot ativo.
Certificados de 2011 e substitutos de 2023
A Microsoft lista quatro certificados de 2011 com datas de expiração e substitutos distintos. A expiração não equivale à revogação no DBX.
| Certificado de 2011 e finalidade | Data de expiração | Substituto de 2023 | Banco UEFI |
| Microsoft Corporation KEK CA 2011 | 24 de junho de 2026 | Microsoft Corporation KEK 2K CA 2023 | KEK |
| Microsoft UEFI CA 2011, para carregadores de inicialização de terceiros e aplicativos EFI | 27 de junho de 2026 | Microsoft UEFI CA 2023 | DB |
| Microsoft UEFI CA 2011, para assinatura de Option ROMs | 27 de junho de 2026 | Microsoft Option ROM UEFI CA 2023 | DB |
| Microsoft Windows Production PCA 2011, para o carregador de inicialização do Windows | 19 de outubro de 2026 | Windows UEFI CA 2023 | DB |
A DB recebe os certificados que autorizam novos componentes de inicialização; a revogação do PCA 2011 é uma mudança separada no DBX. A troca de certificados, portanto, não é um atalho para essa revogação.
O que preparar antes da revogação do PCA 2011
A sequência indicada pela Microsoft é atualizar a DB e instalar gerenciadores de inicialização assinados pelo Windows UEFI CA 2023 antes de aplicar no DBX a revogação do PCA 2011. A empresa também recomenda testar a mudança em dispositivos representativos, manter o firmware do fabricante atualizado e guardar as chaves de recuperação do BitLocker.
Depois da revogação, gerenciadores de inicialização assinados pelo PCA 2011 deixam de iniciar em dispositivos com Secure Boot ativo. Isso pode afetar mídias antigas de recuperação, USBs de inicialização e componentes usados para iniciar pela rede. A Microsoft alerta que aplicar manualmente a mudança no DBX antes de atualizar a DB pode impedir a inicialização e contornar as verificações de segurança do Windows Update.
O que uma verificação de estado pode confirmar
Uma checagem do Secure Boot informa se esse recurso está ativo; o estado do DBX diz respeito a certificados e assinaturas revogados. São estados de configuração e confiança, não um diagnóstico de malware. Mesmo com o Secure Boot ativo e a revogação aplicada, esses dados não detectam um bootkit que já esteja no computador.
