تخفيف انتهاء صلاحية شهادة التمهيد الآمن ل Microsoft

المقدمة

يوضح هذا المستند كيفية تخفيف الانتهاء القادم لشهادات التشغيل الآمن فيما يتعلق ببيئات Cisco UCS.

معلومات أساسية

التمهيد الآمن هي ميزة أمان أساسية مدمجة في واجهة البرامج الثابتة الموحدة القابلة للامتداد (UEFI) الخاصة بالخوادم وأجهزة الكمبيوتر الشخصية الحديثة. وينشئ سلسلة من الثقة أثناء عملية التمهيد من خلال ضمان عدم السماح بتنفيذ إلا أجهزة تحميل التمهيد للبرامج الموقعة رقميا والتي تم التحقق منها، وحقول نظام التشغيل، وبرامج تشغيل UEFI. تحمي هذه الآلية الأنظمة من مجموعات معدات تمهيد التشغيل ومجموعات معدات الطعام وغيرها من تهديدات البرامج الضارة منخفضة المستوى.

في صميم "التمهيد الآمن" توجد مجموعة من شهادات التشفير التي تم إصدارها بواسطة Microsoft. ويتم تضمين هذه الشهادات في البرنامج الثابت UEFI الخاص بكل خادم وكمبيوتر تم شحنه فعليا خلال العقد الماضي، بما في ذلك خوادم Cisco UCS (نظام الحوسبة الموحدة). فهي تخدم كمراكز ثقة تثبت شرعية أي جزء من برنامج وقت التمهيد.

كشفت Microsoft الآن عن انتهاء صلاحية شهادات التمهيد الآمنة الهامة بدءا من يونيو 2026. يؤثر انتهاء الصلاحية هذا على النظام البيئي للأجهزة بالكامل، وقد اعترفت Cisco بالتأثير على مجموعة خوادم UCS الخاصة بها ضمن معرف تصحيح الأخطاء من Cisco CSCwr45526.

المشكلة

ما هي الشهادات التي تنتهي صلاحيتها؟

الشهادات الثلاث في مركز هذا إصدار:

شهادة	دور	تاريخ انتهاء الصلاحية
Microsoft Windows Production PCA 2011	توقيع أدوات تحميل التمهيد ل Microsoft Windows والتحقق من صحتها	19 أكتوبر، 2026 م
Microsoft UEFI CA 2011	الإشارة إلى برامج تشغيل UEFI من إنتاج جهة خارجية ووحدات ذاكرة القراءة فقط (ROM) الاختيارية ووحدات تحميل التمهيد غير التابعة لنظام Windows والتحقق من صحتها	27 يونيو، 2026 م
Microsoft Corporation KEK CA 2011	توقيع تحديثات ل DB و DBX.	24 يونيو، 2026 م

يتم تخزين هذه الشهادات في مخازن مفاتيح التمهيد الآمنة الخاصة بالبرامج الثابتة UEFI:

• DB (قاعدة بيانات التوقيع) — يحتوي على شهادات موثوق بها يتم إستخدامها للتحقق من ثنائيات وقت التمهيد.
• KEK (مفتاح تبادل المفاتيح) — يأذن بتحديث قاعدة بيانات التوقيع.
• PK (مفتاح النظام الأساسي) — جذر الثقة، عادة ما تكون مملوكة من قبل OEM (على سبيل المثال، Cisco).

لماذا تمثل هذه مشكلة لخوادم Cisco UCS؟

تأتي خوادم Cisco UCS — الأنظمة الأساسية من السلسلة B-Series (النصلية) و C-Series (المركبة على حامل) و X-Series (القابلة لإضافة وحدات أخرى) مع شهادات التمهيد الآمن من Microsoft 2011 محملة مسبقا في البرامج الثابتة UEFI BIOS الخاصة بها. عند تمكين ميزة "التمهيد الآمن"، يستخدم BIOS هذه الشهادات في كل دورة تمهيد للتحقق من:

• أداة تحميل نظام التشغيل التمهيد، الموقعة من قبل Windows Production PCA 2011.
• مكونات UEFI التابعة لجهة خارجية، مثل:
  • برامج تشغيل UEFI لوحدة تحكم التخزين (RAID)
  • سماعات بدء تشغيل PXE لمهايئ الشبكة
  • البرامج الثابتة الأخرى الخاصة بجهاز PCIe التي يتم تحميلها أثناء نشر مادة النشر

ويتم توقيع هذه المكونات عادة بواسطة Microsoft UEFI CA 2011.

ماذا يحدث إذا لم يتخذ أي إجراء؟

• تستمر أنظمة التشغيل وبرامج التشغيل وحصص ROM القائمة في العمل بشكل طبيعي، حيث تم توقيعها بالشهادات الموثوق بها حاليا ولا تعتمد على المرجع المصدق الجديد. ونتيجة لذلك، تستمر الخوادم المتأثرة في التمهيد دون انقطاع. يؤثر انتهاء الصلاحية فقط على الثنائيات المستقبلية الموقعة مع الشهادات الجديدة، ولا يبطل بأثر رجعي المكونات الموقعة مسبقا والموثوق بها مسبقا.
• يتم تحديد النقطة التي يتم عندها إعادة توقيع الملفات مع الشهادات الجديدة من قبل المورد المسؤول عن كل مكون، وليس من خلال حدث منسق واحد. ينطبق هذا أيضا على الأجهزة المستندة إلى UCS، حيث يتم التحكم في الخط الزمني من قبل الموردين المعنيين والسلطات الموقعة المسؤولة عن هذه الصور.
• هذا ليس مصدر قلق خاص بنظام التشغيل Windows. يخضع أي نظام تشغيل أو مكون برنامج ثابت يعتمد على التشغيل الآمن ويعتمد شهادات التوقيع الجديدة لنفس متطلبات الانتقال مع مرور الوقت. ولهذا السبب، يعد التنسيق مع بائعي الأجهزة المسؤولين أمرا أساسيا. التوجيه الذي قام كل مورد بنشره وتوجيهاته يجب متابعته مباشرة، بدلا من افتراض أن تحديث البرنامج الثابت UCS الأساسي وحده كاف نظرا لأنه يتم التحكم في توقيع صورة نظام تشغيل الجهاز بشكل منفصل عن البرنامج الثابت للنظام الأساسي.

يلخص هذا طاولة ال متوقع جزمة سلوك يؤسس على ال CIMC شهادة دولة وما إذا كان يأمن جزمة مكنت. هو يوضح حيث الإصلاح (تحديث CIMC إلى الشهادة الجديدة) مطلوب للحفاظ على القدرة على تمهيد الملفات الموقعة في المستقبل:

حالة شهادة CIMC	تمكين التمهيد الآمن	تمكين التمهيد الآمن -	تم تعطيل التمهيد الآمن	تم تعطيل التمهيد الآمن
	الملفات الحالية	ملفات المستقبل	الملفات الحالية	ملفات المستقبل
CIMC القديمة (شهادة قديمة)	O	X	O	O
مركز CIMC الجديد (شهادة جديدة)	O	O	O	O

وسيلة الإيضاح: O = Boots · X بنجاح = فشل التمهيد / الملفات غير الموثوق بها

تتبعت Cisco رسميا هذا إصدار تحت cisco بق id CSCwr45526.

ويعترف هذا الخلل بما يلي:

• يحتوي البرنامج الثابت لخادم UCS على شهادات التمهيد الآمن ل Microsoft 2011 التي انتهت صلاحيتها.
• يلزم تحديث البرنامج الثابت لتقديم شهادات الاستبدال (شهادات Microsoft 2023) في مخازن المفاتيح UEFI.

الحل

تطبيق تحديثات البرنامج الثابت Cisco UCS

البرامج الثابتة المحدثة الخاصة بمنصات UCS المتأثرة التي تتضمن شهادات التمهيد الآمن الجديدة من Microsoft:

شهادة جديدة	تستعاض
Microsoft Windows UEFI CA 2023	Microsoft Windows Production PCA 2011
Microsoft UEFI CA 2023	Microsoft UEFI CA 2011
Microsoft Corporation KEK 2K CA 2023	Microsoft Corporation KEK CA 2011

خطوات الإجراء

• مراقبة معرف تصحيح الأخطاء من Cisco CSCwr45526 على أداة البحث عن الأخطاء من Cisco لإصدار البرامج الثابتة والجداول الزمنية للإصدار.
• قم بتنزيل البرنامج الثابت المحدث ونشره عندما يكون متوفرا للنظام الأساسي UCS الخاص بك (B-Series و C-Series و X-Series).
• إستخدام أدوات الإدارة من Cisco لترقية البرامج الثابتة:
  • Cisco Intersight — للبيئات المدارة عبر الشبكة، أستخدم سياسات إدارة البرامج الثابتة Intersight لتنسيق التحديثات على نطاق واسع.
  • مدير Cisco UCS (UCSM) — للخوادم من السلسلة B و C المدارة بالمجال.
  • Cisco IMC (وحدة التحكم في الإدارة المتكاملة) — للخوادم المستقلة المركبة على حامل من الفئة C.

تحتوي الجداول التالية على الحد الأدنى لإصدار البرنامج الثابت الذي يتضمن الإصلاح مع الشهادات المحدثة، كما تحتوي الإصدارات الأعلى على إصلاح:

الوضع المدار Intersight (IMM) - الخوادم

الخوادم النصلية (فئة B و X -)

طراز الخادم	إصدار (إصدارات) البرنامج الثابت
UCSB-B200-M5	5.4.0.260011
UCSB-B480-M5	5.4.0.260011
UCSB-B200-M6	5.4.0.260011, 6.0.2.260040
UCSX-210c-M6	5.4.0.260009, 6.0.2.260040
UCSX-210c-M7	5.4.0.260010, 6.0.2.260040
UCSX-410c-M7	5.4.0.260010, 6.0.2.260040
UCSX-210c-M8	5.4.0.260010, 6.0.2.260040
UCSX-215C-M8	5.4.0.260010, 6.0.2.260040
UCSX-410c-M8	6.0.2.260040

خوادم مركبة على حامل (C-Series) مدمجة في الوضع المدار للبصر (IMC)

إصدار البرنامج الثابت IMC
IMC-6.0.2.260044
IMC-6.0.2.260043
IMC-6.0.2.260042
IMC-6.0.2.260040
IMC-6.0.2.260026
IMC-5.4.0.260011
IMC-5.4.0.260010
IMC-5.4.0.260009
IMC-4.3.6.260017
IMC-4.3.2.260007

الخوادم المستقلة القابلة للتركيب على حامل (الفئة C) - الأداة المساعدة لترقية المضيف (HUU)

طراز الخادم	إصدار (إصدارات) البرنامج الثابت
UCSC-C125	4.3.2.260007
UCSC-C220-M5	4.3.2.260007
UCSC-C220-M6	4.3.6.260017, 6.0.2.260044
UCSC-C220-M7	4.3.6.260017, 6.0.2.260044
UCSC-C220-M8	4.3.6.260017, 6.0.2.260044
UCSC-C225-M6	4.3.6.260017, 6.0.2.260044
UCSC-C225-M8	4.3.6.260017, 6.0.2.260044
UCSC-C240-M5	4.3.2.260007
UCSC-C240-M6	4.3.6.260017, 6.0.2.260044
UCSC-C240-M7	4.3.6.260017, 6.0.2.260044
UCSC-C240-M8	4.3.6.260017, 6.0.2.260044
UCSC-C245-M6	4.3.6.260017, 6.0.2.260044
UCSC-C245-M8	4.3.6.260017, 6.0.2.260044
UCSC-C480-M5	4.3.2.260007
UCS-S3260-M5	4.3.6.260017
UCSXE-130c-M8	6.0.2.260042

مدير UCS (UCSM) - الخوادم المدارة

إصدار البرنامج الثابت UCSM
4.3(6f)
6.0(2b)

يلزم أحيانا تكوين إضافي لحل مشكلة انتهاء صلاحية شهادة UEFI، استنادا إلى نظام التشغيل الموجود على خوادم UCS. توصي Cisco بالاتصال بمورد نظام التشغيل المعني للحصول على إرشادات حول خطوات المعالجة المحددة.

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
5.0	07-Jul-2026	إعادة التنسيق والتصحيحات
3.0	11-Jun-2026	إعادة التنسيق
1.0	08-Apr-2026	الإصدار الأولي