Windows Secure Boot sắp hết hạn, người dùng cần làm gì để tránh rủi ro bảo mật?

Khoảng ba tháng trước, Microsoft từng đăng tải một bài blog cảnh báo về việc chứng chỉ Secure Boot sắp hết hạn, giải thích lý do tại sao đây là vấn đề quan trọng. Mới đây, khi ngày “X” đang đến gần, hãng tiếp tục công bố một tài liệu hỗ trợ với nhiều chi tiết hơn.

Secure Boot là gì?

Secure Boot được Microsoft giới thiệu lần đầu vào năm 2011, nhằm đảm bảo máy tính chỉ khởi động bằng firmware đã được xác thực và bộ nạp khởi động đáng tin cậy. Về sau, tính năng này trở thành yêu cầu phần cứng bắt buộc của Windows 11, cùng với TPM (Trusted Platform Module), như một phần trong nỗ lực nâng cao bảo mật hệ thống.

Các chứng chỉ Secure Boot đầu tiên có hiệu lực trong 15 năm và sẽ bắt đầu hết hạn vào tháng 6/2026. Khi chứng chỉ hết hạn, Windows sẽ không thể cài đặt một số bản cập nhật quan trọng, khiến hệ thống dễ bị tấn công bởi BootKit và các loại mã độc nguy hiểm khác.

Người dùng cần làm gì?

Việc cập nhật chứng chỉ không phải là thói quen của đa số người dùng phổ thông. Vì vậy, Microsoft đã chuẩn bị một mục FAQ (câu hỏi thường gặp) giải đáp chi tiết:

• Người dùng PC thông thường: Nếu bạn đang dùng máy tính cá nhân và nhận bản vá qua Windows Update, hầu như không cần lo lắng. Microsoft sẽ tự động cập nhật chứng chỉ ở chế độ nền. Đây cũng là lý do bạn không nên tắt Windows Update quá lâu.
• Người dùng Windows 10 không nâng cấp lên Windows 11: Bạn sẽ cần tham gia chương trình Extended Security Updates (ESU) để tiếp tục nhận chứng chỉ mới. Ngoại lệ duy nhất là các bản Windows 10 LTSC/LTSB, vốn vẫn được cập nhật bảo mật sau ngày 14/10/2025.
• Các phiên bản Windows không còn được hỗ trợ sẽ không nhận được chứng chỉ mới.

Ngoài ra, Microsoft cũng lưu ý thêm rằng các thiết bị chạy Windows 10 LTSC nâng cấp lên Windows 11 LTSC nhưng tắt Secure Boot và dùng chứng chỉ đã hết hạn sẽ không tự động nhận chứng chỉ mới. Người dùng sẽ phải thực hiện các bước di chuyển theo hướng dẫn riêng ở thời điểm đó để đảm bảo hệ thống có chứng chỉ 2023.

Bên cạnh đó, một số PC có thể không khởi động được sau khi reset firmware về mặc định. Nguyên nhân là mặc định này không có chứng chỉ Windows UEFI CA 2023. Cách khắc phục là áp dụng lại chứng chỉ bằng USB recovery, chi tiết được Microsoft hướng dẫn trong tài liệu hỗ trợ.

Bạn có thể tham khảo toàn bộ phần FAQ về chứng chỉ Secure Boot sắp hết hạn trong tài liệu chính thức từ Microsoft tại đây.