Microsoft Secure Boot-Zertifikatablauf minimieren

Einleitung

In diesem Dokument wird beschrieben, wie Sie das bevorstehende Ablaufdatum von Secure Boot-Zertifikaten für Cisco UCS-Umgebungen eindämmen können.

Hintergrundinformationen

Secure Boot ist eine grundlegende Sicherheitsfunktion, die in die Unified Extensible Firmware Interface (UEFI) moderner Server und PCs integriert ist. Es stellt eine Vertrauenskette während des Bootvorgangs her, indem sichergestellt wird, dass nur digital signierte und verifizierte Software-Bootloader, Betriebssystem-Kernel und UEFI-Treiber ausgeführt werden dürfen. Dieser Mechanismus schützt Systeme vor Bootkits, Rootkits und anderen Malware-Bedrohungen auf niedriger Ebene.

Das Kernstück von Secure Boot ist eine Reihe von kryptografischen Zertifikaten, die von Microsoft ausgestellt wurden. Diese Zertifikate sind in die UEFI-Firmware praktisch aller in den letzten zehn Jahren ausgelieferten Server und PCs eingebettet, einschließlich der Cisco UCS-Server (Unified Computing System). Sie dienen als Vertrauensanker, der überprüft, ob eine Boot-Zeit-Software zulässig ist.

Microsoft hat nun bekannt gegeben, dass kritische Secure Boot-Zertifikate ab Juni 2026 ablaufen. Dieser Ablauf betrifft das gesamte Hardware-Ökosystem, und Cisco hat die Auswirkungen auf sein UCS-Server-Portfolio unter der Cisco Bug-ID CSCwr45526 anerkannt.

Problem

Welche Zertifikate laufen ab?

Die drei Zertifikate im Mittelpunkt dieser Ausgabe sind:

Zertifikat	Rolle	Ablaufdatum
Microsoft Windows-Produktions-PCA 2011	Signiert und validiert Microsoft Windows-Bootloader	19. Oktober 2026
Microsoft UEFI CA 2011	Signiert und validiert UEFI-Treiber von Drittanbietern, Options-ROMs und Bootloader, die nicht von Windows stammen	27. Juni 2026
Microsoft Corporation KEK CA 2011	Signiert Aktualisierungen für DB und DBX.	24. Juni 2026

Diese Zertifikate werden in den Schlüsselspeichern für sicheres Booten der UEFI-Firmware gespeichert:

• db (Signatur-Datenbank) — Enthält vertrauenswürdige Zertifikate, die zum Überprüfen der Boot-Zeit-Binärdateien verwendet werden.
• KEK (Key Exchange Key, Schlüsselaustauschschlüssel) - Autorisiert Aktualisierungen der Signaturdatenbank.
• PK (Plattformschlüssel) - Die Vertrauensbasis, die normalerweise dem OEM (z. B. Cisco) gehört.

Welche Vorteile bieten Cisco UCS-Server?

Cisco UCS-Server - Plattformen der B-Serie (Blade), C-Serie (Rack) und X-Serie (Modular) werden mit Microsoft 2011 Secure Boot-Zertifikaten ausgeliefert, die in der UEFI BIOS-Firmware vorinstalliert sind. Wenn "Sicheres Booten" aktiviert ist, verwendet das BIOS diese Zertifikate bei jedem Bootvorgang, um Folgendes zu überprüfen:

• Der Betriebssystem-Bootloader, der vom Windows-Produktions-PCA 2011 signiert wird.
• UEFI-Komponenten von Drittanbietern, z. B.:
  • Storage Controller (RAID) UEFI-Treiber
  • Netzwerkadapter PXE-Boot-ROMs
  • Andere Firmware für PCIe-Geräte, die während des POST-Tests geladen werden

Diese Komponenten werden normalerweise von der Microsoft UEFI CA 2011 signiert.

Was geschieht, wenn keine Maßnahmen ergriffen werden?

• Bestehende Betriebssysteme, Treiber und Options-ROMs funktionieren weiterhin normal, da sie mit den derzeit vertrauenswürdigen Zertifikaten signiert wurden und nicht von der neuen Zertifizierungsstelle abhängen. Die betroffenen Server booten daher ohne Unterbrechung weiter. Der Ablauf betrifft nur zukünftige Binärdateien, die mit den neuen Zertifikaten signiert werden. Früher signierte und bereits vertrauenswürdige Komponenten werden nicht rückwirkend ungültig.
• Der Punkt, an dem Dateien mit den neuen Zertifikaten neu signiert werden, wird vom für die einzelnen Komponenten verantwortlichen Anbieter bestimmt und nicht von einem einzigen koordinierten Ereignis. Dies gilt auch für UCS-basierte Appliances, deren Zeitrahmen von den jeweiligen Anbietern und Signaturbehörden bestimmt wird, die für diese Images verantwortlich sind.
• Dies ist kein Windows-spezifisches Problem. Für jedes Betriebssystem oder jede Firmware-Komponente, die Secure Boot benötigt und die neuen Signaturzertifikate verwendet, gelten im Laufe der Zeit dieselben Übergangsanforderungen. Aus diesem Grund ist eine Abstimmung mit den verantwortlichen Appliance-Anbietern unerlässlich. Der Leitfaden, den jeder Anbieter veröffentlicht hat, und die Ratgeber sind direkt zu verfolgen. Es wird nicht davon ausgegangen, dass ein zugrunde liegendes UCS-Firmware-Update allein ausreicht, da die Signatur des Betriebssystem-Images der Appliance getrennt von der Plattform-Firmware gesteuert wird.

In dieser Tabelle wird das erwartete Bootverhalten basierend auf dem CIMC-Zertifikatsstatus zusammengefasst und erläutert, ob Secure Boot aktiviert ist. Es wird veranschaulicht, wo eine Problembehebung (Aktualisierung von CIMC auf das neue Zertifikat) erforderlich ist, um die Möglichkeit zum Booten zukünftiger signierter Dateien aufrechtzuerhalten:

CIMC-Zertifikatstatus	Sicheres Booten aktiviert	Sicheres Booten aktiviert -	Sicheres Booten deaktiviert	Sicheres Booten deaktiviert
	Aktuelle Dateien	Zukünftige Dateien	Aktuelle Dateien	Zukünftige Dateien
Altes CIMC (altes Zertifikat)	O	X	O	O
Neuer CIMC (neues Zertifikat)	O	O	O	O

Legende: O = Startet erfolgreich ・ X = Startfehler / Dateien nicht vertrauenswürdig

Cisco hat das Problem offiziell unter der Cisco Bug-ID CSCwr45526 verfolgt.

Dieser Mangel bestätigt Folgendes:

• Die UCS-Server-Firmware enthält die ablaufenden Microsoft 2011 Secure Boot-Zertifikate.
• Um die Ersatzzertifikate (Microsoft 2023-Zertifikate) in die UEFI-Schlüsselspeicher einzuführen, ist ein Firmware-Update erforderlich.

Lösung

Anwenden von Cisco UCS-Firmware-Updates

Aktualisierte Firmware für betroffene UCS-Plattformen, die die neuen Microsoft Secure Boot-Zertifikate enthält:

Neues Zertifikat	Ersetzt
Microsoft Windows UEFI CA 2023	Microsoft Windows-Produktions-PCA 2011
Microsoft UEFI CA 2023	Microsoft UEFI CA 2011
Microsoft Corporation KEK 2K CA 2023	Microsoft Corporation KEK CA 2011

Aktionsschritte

• Überprüfen Sie im Cisco Bug Search Tool die Cisco Bug-ID CSCwr4526 auf feste Firmware-Versionen und Veröffentlichungszeitpläne.
• Laden Sie die aktualisierte Firmware herunter, und stellen Sie sie bereit, wenn sie für Ihre spezifische UCS-Plattform (B-Serie, C-Serie, X-Serie) verfügbar ist.
• Verwenden Sie Cisco Management-Tools für Firmware-Upgrades:
  • Cisco Intersight - Verwenden Sie für Cloud-basierte Umgebungen Intersight-Firmware-Management-Richtlinien, um Updates skalierbar zu orchestrieren.
  • Cisco UCS Manager (UCSM) - Für domänenverwaltete Server der B- und C-Serie.
  • Cisco IMC (Integrated Management Controller) - Für eigenständige Rack-Server der C-Serie.

Die nächsten Tabellen enthalten die minimale Firmware-Version, die den Fix mit den aktualisierten Zertifikaten enthält, die höheren Versionen enthalten auch den Fix:

Intersight Managed Mode (IMM) - Server

Blade-Server (B- und X-Serie)

Servermodell	Firmware-Version(en)
UCSB-B200-M5	5.4.0.260011
UCSB-B480-M5	5.4.0.260011
UCSB-B200-M6	5.4.0.260011, 6.0.2.260040
UCSX-210C-M6	5.4.0.260009, 6.0.2.260040
UCSX-210C-M7	5.4.0.260010, 6.0.2.260040
UCSX-410C-M7	5.4.0.260010, 6.0.2.260040
UCSX-210C-M8	5.4.0.260010, 6.0.2.260040
UCSX-215C-M8	5.4.0.260010, 6.0.2.260040
UCSX-410C-M8	6.0.2.260040

Integration von Rack-Servern (C-Serie) in Insight Managed Mode (IMC)

IMC-Firmwareversion
IMC-6.0.2.260044
IMC-6.0.2.260043
IMC-6.0.2.260042
IMC-6.0.2.260040
IMC-6.0.2.260026
IMC-5.4.0.260011
IMC-5.4.0.260010
IMC-5.4.0.260009
IMC-4.3.6.260017
IMC-4.3.2.260007

Standalone-Rack-Server (C-Serie) - Host Upgrade Utility (HUU)

Servermodell	Firmware-Version(en)
UCSC C125	4.3.2.260007
UCSC C220 M5	4.3.2.260007
UCSC C220 M6	4.3.6.260017, 6.0.2.260044
UCSC C220 M7	4.3.6.260017, 6.0.2.260044
UCSC C220 M8	4.3.6.260017, 6.0.2.260044
UCSC C225 M6	4.3.6.260017, 6.0.2.260044
UCSC-C225-M8	4.3.6.260017, 6.0.2.260044
UCSC C240 M5	4.3.2.260007
UCSC C240 M6	4.3.6.260017, 6.0.2.260044
UCSC C240 M7	4.3.6.260017, 6.0.2.260044
UCSC-C240-M8	4.3.6.260017, 6.0.2.260044
UCSC C245 M6	4.3.6.260017, 6.0.2.260044
UCSC-C245-M8	4.3.6.260017, 6.0.2.260044
UCSC C480 M5	4.3.2.260007
UCS-S3260-M5	4.3.6.260017
UCSXE-130C-M8	6.0.2.260042

UCS Manager (UCSM) - Managed Server

UCSM-Firmwareversion
4,3(6f)
6,0 (2b)

Manchmal sind zusätzliche Konfigurationen erforderlich, um das Problem mit dem Ablauf des UEFI-Zertifikats zu beheben. Dies hängt vom Betriebssystem auf den UCS-Servern ab. Cisco empfiehlt, sich bezüglich der einzelnen Schritte zur Behebung des Problems an den jeweiligen Betriebssystemlieferanten zu wenden.

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
5.0	07-Jul-2026	Neuformatierung und Korrekturen
3.0	11-Jun-2026	Neuformatierung
1.0	08-Apr-2026	Erstveröffentlichung