Verlopen Microsoft Secure Boot-certificaat beperken

Inleiding

In dit document wordt beschreven hoe u de komende vervaldatum van Secure Boot-certificaten kunt beperken voor Cisco UCS-omgevingen.

Achtergrondinformatie

Secure Boot is een fundamentele beveiligingsfunctie die is ingebouwd in de Unified Extensible Firmware Interface (UEFI) van moderne servers en pc's. Het creëert een vertrouwensketen tijdens het opstartproces door ervoor te zorgen dat alleen digitaal ondertekende en geverifieerde software-bootloaders, kernels van het besturingssysteem en UEFI-stuurprogramma's mogen worden uitgevoerd. Dit mechanisme beschermt systemen tegen bootkits, rootkits en andere malware-bedreigingen op laag niveau.

In het hart van Secure Boot ligt een reeks cryptografische certificaten uitgegeven door Microsoft. Deze certificaten zijn ingebed in de UEFI-firmware van vrijwel elke server en pc die in het afgelopen decennium is verzonden, inclusief Cisco UCS-servers (Unified Computing System). Ze dienen als vertrouwensankers die valideren of een stuk opstarttijdsoftware legitiem is.

Microsoft heeft nu bekendgemaakt dat kritieke Secure Boot-certificaten vanaf juni 2026 verlopen. Deze vervaldatum is van invloed op het gehele hardware-ecosysteem en Cisco heeft de impact op zijn UCS-serverportfolio onder Cisco bug ID CSCwr45526 erkend.

Probleem

Welke certificaten verlopen?

De drie certificaten die centraal staan in deze uitgifte zijn:

getuigschrift	rol	vervaldatum
Microsoft Windows Production PCA 2011	Ondertekent en valideert Microsoft Windows-bootloaders	27 juni 2026
Microsoft UEFI CA 2011	Ondertekent en valideert UEFI-stuurprogramma's van derden, optie-ROM's en niet-Windows-opstartladers	27 juni 2026
Microsoft Corporation KEK CA 2011	Ondertekent updates voor DB en DBX.	24 juni 2026

Deze certificaten worden opgeslagen in de UEFI-firmware Secure Boot-sleutelwinkels:

• db (Signature Database) — Bevat vertrouwde certificaten die worden gebruikt om opstarttijdbinaries te verifiëren.
• KEK (Key Exchange Key) — machtigt updates van de database met handtekeningen.
• PK (Platform Key) - De wortel van vertrouwen, meestal eigendom van de OEM (bijvoorbeeld Cisco).

Waarom is dit een probleem voor Cisco UCS-servers?

Cisco UCS-servers — platforms uit de B-reeks (blade), C-reeks (rack) en X-reeks (modulair) worden geleverd met Microsoft 2011 Secure Boot-certificaten die vooraf zijn geladen in hun UEFI BIOS-firmware. Wanneer Secure Boot is ingeschakeld, gebruikt het BIOS deze certificaten bij elke opstartcyclus om te valideren:

• Het besturingssysteem bootloader, die is ondertekend door de Windows Production PCA 2011.
• UEFI-componenten van derden, zoals:
  • UEFI-stuurprogramma's voor opslagcontroller (RAID)
  • Netwerkadapter PXE-opstart-ROM's
  • Andere PCIe-apparaatfirmware geladen tijdens POST

Deze componenten worden meestal ondertekend door de Microsoft UEFI CA 2011.

Wat gebeurt er als er geen actie wordt ondernomen?

• Bestaande besturingssystemen, stuurprogramma's en optie-ROM's blijven normaal functioneren, omdat ze zijn ondertekend met de momenteel vertrouwde certificaten en niet afhankelijk zijn van de nieuwe certificeringsinstantie. Bijgevolg blijven de betrokken servers zonder onderbreking opstarten. De vervaldatum heeft alleen invloed op toekomstige binaire bestanden die zijn ondertekend met de nieuwe certificaten, maar maakt eerder ondertekende en reeds vertrouwde componenten niet met terugwerkende kracht ongeldig.
• Het punt waarop bestanden opnieuw worden ondertekend met de nieuwe certificaten wordt bepaald door de leverancier die verantwoordelijk is voor elk onderdeel, niet door een enkele gecoördineerde gebeurtenis. Dit geldt ook voor op UCS gebaseerde apparaten, waarbij de tijdlijn wordt bepaald door de respectieve leveranciers en ondertekenende autoriteiten die verantwoordelijk zijn voor die afbeeldingen.
• Dit is geen Windows-specifiek probleem. Voor elk besturingssysteem of firmwarecomponent dat op Secure Boot vertrouwt en de nieuwe ondertekeningscertificaten goedkeurt, gelden in de loop der tijd dezelfde overgangsvereisten. Daarom is coördinatie met de verantwoordelijke leveranciers van apparaten essentieel. De richtlijnen die elke leverancier publiceert en de adviezen moeten direct worden gevolgd, in plaats van aan te nemen dat een onderliggende UCS-firmware-update alleen voldoende is, omdat het ondertekenen van het image van het besturingssysteem van het toestel afzonderlijk van de platformfirmware wordt beheerd.

Deze tabel geeft een overzicht van het verwachte opstartgedrag op basis van de CIMC-certificaatstatus en of Secure Boot is ingeschakeld. Hierin wordt geïllustreerd waar herstel (CIMC wordt bijgewerkt naar het nieuwe certificaat) nodig is om de mogelijkheid te behouden om toekomstige ondertekende bestanden op te starten:

CIMC-certificaatstatus	Veilig opstarten ingeschakeld	Veilig opstarten ingeschakeld –	Veilig opstarten uitgeschakeld	Veilig opstarten uitgeschakeld
	Huidige bestanden	Toekomstige bestanden	Huidige bestanden	Toekomstige bestanden
Oude CIMC (oude cert)	O	X	O	O
Nieuw CIMC (nieuw cert)	O	O	O	O

Legenda: O = Opstarten met succes · X = Opstartfout / bestanden niet vertrouwd

Cisco heeft dit probleem formeel bijgehouden onder Cisco bug ID CSCwr45526.

Dit defect erkent dat:

• De UCS-serverfirmware bevat de verlopen Microsoft 2011 Secure Boot-certificaten.
• Er is een firmware-update vereist om de vervangende certificaten (Microsoft 2023-certificaten) in de UEFI-sleutelwinkels te introduceren.

Oplossing

Firmware-updates van Cisco UCS toepassen

Bijgewerkte firmware voor getroffen UCS-platforms met de nieuwe Microsoft Secure Boot-certificaten:

Nieuw certificaat	vervangt
Microsoft Windows UEFI CA 2023	Microsoft Windows Production PCA 2011
Microsoft UEFI CA 2023	Microsoft UEFI CA 2011
Microsoft Corporation KEK 2K CA 2023	Microsoft Corporation KEK CA 2011

Actiestappen

• Monitor Cisco Bug ID CSCwr45526 op de Cisco Bug Search Tool voor vaste firmwareversies en releasetijdlijnen.
• Download en implementeer de bijgewerkte firmware indien beschikbaar voor uw specifieke UCS-platform (B-reeks, C-reeks, X-reeks).
• Cisco-beheerprogramma's gebruiken voor firmware-upgrade:
  • Cisco Intersight — Gebruik voor door de cloud beheerde omgevingen het beleid voor het beheer van de Intersight-firmware om op grote schaal updates te orkestreren.
  • Cisco UCS Manager (UCSM) — Voor domeinbeheerde servers uit de B-reeks en de C-reeks.
  • Cisco IMC (Integrated Management Controller) — Voor standalone rackservers uit de C-reeks.

De volgende tabellen bevatten de minimale firmwareversie die de fix bevat met de bijgewerkte certificaten, hogere versies bevatten ook fix:

Intersight Managed Mode (IMM) - Servers

Bladeservers (B- en X-reeks)

Servermodel	Firmwareversie(s)
UCSB-B200-M5	5.4.0.260011
UCSB-B480-M5	5.4.0.260011
UCSB-B200-M6	5.4.0.260011, 6.0.2.260040
UCSX-210C-M6	5.4.0.260009, 6.0.2.260040
UCSX-210C-M7	5.4.0.260010, 6.0.2.260040
UCSX-410C-M7	5.4.0.260010, 6.0.2.260040
UCSX-210C-M8	5.4.0.260010, 6.0.2.260040
UCSX-215C-M8	5.4.0.260010, 6.0.2.260040
UCSX-410C-M8	6.0.2.260040

Rackservers (C-reeks) geïntegreerd in de Insight Managed Mode (IMC)

IMC-firmwareversie
IMC-6.0.2.260044
IMC-6.0.2.260043
IMC-6.0.2.260042
IMC-6.0.2.260040
IMC-6.0.2.260026
IMC-5.4.0.260011
IMC-5.4.0.260010
IMC-5.4.0.260009
IMC-4.3.6.260017
IMC-4.3.2.260007

Standalone rackservers (C-reeks) - Host Upgrade Utility (HUU)

Servermodel	Firmwareversie(s)
UCSC-C125	4.3.2.260007
UCSC-C220-M5	4.3.2.260007
UCSC-C220-M6	4.3.6.260017, 6.0.2.260044
UCSC-C220-M7	4.3.6.260017, 6.0.2.260044
UCSC-C220-M8	4.3.6.260017, 6.0.2.260044
UCSC-C225-M6	4.3.6.260017, 6.0.2.260044
UCSC-C225-M8	4.3.6.260017, 6.0.2.260044
UCSC-C240-M5	4.3.2.260007
UCSC-C240-M6	4.3.6.260017, 6.0.2.260044
UCSC-C240-M7	4.3.6.260017, 6.0.2.260044
UCSC-C240-M8	4.3.6.260017, 6.0.2.260044
UCSC-C245-M6	4.3.6.260017, 6.0.2.260044
UCSC-C245-M8	4.3.6.260017, 6.0.2.260044
UCSC-C480-M5	4.3.2.260007
UCS-S3260-M5	4.3.6.260017
UCSXE-130C-M8	6.0.2.260042

UCS Manager (UCSM) - Beheerde servers

UCSM-firmwareversie
4.3 (6 septies)
6,0 (2b)

Soms zijn extra configuraties vereist om het UEFI-certificaatvervalprobleem op te lossen, op basis van het besturingssysteem op de UCS-servers. Cisco raadt aan contact op te nemen met de betreffende leverancier van besturingssystemen voor advies over de specifieke herstelstappen.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
6.0	27-Aug-2026	Gecorrigeerde vervaldatum.
5.0	07-Jul-2026	Herformattering en correcties
3.0	11-Jun-2026	herformattering
1.0	08-Apr-2026	Eerste vrijgave