Windows Secure Boot là gì? Những điều bạn cần biết

Secure Boot hoạt động như thế nào?

Secure Boot ngăn chặn phần mềm đáng ngờ chạy trước khi bạn khởi động Windows. Nó ra đời để đối phó với "bootkit" — một loại tấn công xuất hiện từ giữa những năm 2000. Kẻ tấn công sẽ chèn mã độc vào chuỗi khởi động, cho phép chúng sửa đổi Windows mà không bị phát hiện và vượt mặt phần mềm diệt virus.

Bắt đầu từ Windows 8, Microsoft đã triển khai Secure Boot để chặn loại mã độc này. Việc ra mắt tính năng này là một bước tiến lớn cho bảo mật PC.

Hãy nghĩ về Secure Boot giống như một trạm kiểm soát của một tòa nhà được bảo vệ nghiêm ngặt. Chỉ những người trong danh sách được phê duyệt mới có thể vào, và một nhân viên an ninh sẽ xác minh danh tính trước khi cho phép bất kỳ ai qua cửa.

Trên PC của bạn, Secure Boot thực hiện việc sàng lọc này. Nó dựa vào các chứng chỉ bảo mật chứa thông tin mật mã được sử dụng để xác minh trình điều khiển và các thành phần khác cần thiết để khởi động Windows.

Trong phép loại suy này, Secure Boot là nhân viên an ninh. Mã được tải trong quá trình khởi động là người xuất trình giấy tờ tùy thân (chữ ký số). Và các chứng chỉ bảo mật là cơ sở dữ liệu chứa danh tính của những người được phép vào.

Tại sao tôi cần chứng chỉ Secure Boot mới?

Nhiều PC đã được xuất xưởng với phiên bản chứng chỉ gốc, được cấp vào năm 2011. Chỉ những máy tính mới hơn mới được trang bị bộ chứng chỉ tiếp theo từ năm 2023.

Các chứng chỉ Secure Boot năm 2011 được thiết kế để hết hạn sau 15 năm, vào năm 2026. Theo lời của Microsoft, kế hoạch này nhằm "đảm bảo các thiết bị Windows tiếp tục xác minh phần mềm khởi động đáng tin cậy." Hiện tại, ba trong số bốn chứng chỉ đã hết hạn. (Điều này xảy ra vào cuối tháng 6 năm 2026.) Chứng chỉ thứ tư sẽ hết hạn vào tháng 10 năm 2026.

Chứng chỉ hết hạn đồng nghĩa với việc bảo vệ PC của bạn bị suy yếu — Secure Boot sẽ không thể chặn các cuộc tấn công mới vào quá trình khởi động của bạn. Việc cập nhật lên chứng chỉ 2023 duy trì khả năng phòng thủ nhất quán chống lại bootkit và các phần mềm độc hại khác nhắm vào quá trình khởi động.

Làm thế nào để biết tôi có chứng chỉ Secure Boot cũ?

Bạn phải tự kiểm tra thủ công trong Windows để xem chứng chỉ Secure Boot của mình có còn mới hay không — việc có thể khởi động vào Windows không phải là bằng chứng. Một PC vẫn có thể vào Windows với chứng chỉ 2011 đã hết hạn.

Trong hầu hết các trường hợp, Windows sẽ thông báo cho bạn về vấn đề này — một dấu hiệu là thấy biểu tượng lá chắn màu xanh trên Thanh tác vụ, có dấu màu vàng hoặc đỏ trên đó.

Ngoài ra, hãy mở ứng dụng **Windows Security** và chọn **Device Security**. Dấu kiểm màu xanh lá cây có nghĩa là bạn đã có chứng chỉ Secure Boot 2023 và đã được cập nhật. Cảnh báo màu vàng hoặc đỏ cho biết bạn cần phải hành động.

Secure Boot có thực sự cần thiết không?

Các bình luận trên Internet hiện nay thường khuyên không nên lo lắng về mã độc ở cấp độ UEFI/BIOS, cho rằng chỉ những mục tiêu của các cuộc tấn công chính phủ mới phải lo ngại. (Ví dụ: Bạn là nhà báo đưa tin về Triều Tiên.)

Nhưng thái độ đó có thể bắt nguồn từ sự hiện diện của Secure Boot trong Windows. Tôi đã có mặt trước khi tính năng này được triển khai. Bạn không cần phải là mục tiêu của tin tặc do nhà nước bảo trợ mới có thể bị nhiễm bootkit.

Vì vậy, bạn có thể chạy PC với chứng chỉ Secure Boot đã hết hạn, giống như bạn có thể tiếp tục lái xe khi đèn Check Engine bật sáng. Nhưng bỏ qua cảnh báo có thể dẫn đến đau đầu lớn sau này.

Việc loại bỏ phần mềm độc hại ảnh hưởng đến chuỗi khởi động là một việc cực kỳ khó khăn, cả về phát hiện lẫn loại bỏ. Secure Boot cung cấp khả năng bảo vệ nếu điều đó xảy ra, vì nó sẽ không cho phép hệ thống của bạn khởi động. Ít nhất bạn sẽ nhận được cảnh báo rằng có điều gì đó tồi tệ đã xảy ra với PC của mình.

Làm thế nào để cập nhật chứng chỉ Secure Boot?

Hầu hết các PC Windows đã được đẩy chứng chỉ Secure Boot 2023 tự động. Nếu bạn thấy dấu kiểm màu xanh lá cây, bạn đã hoàn tất và không cần phải lo lắng thêm nữa.

Nếu bạn có cảnh báo màu vàng hoặc đỏ, bạn sẽ phải can thiệp nhiều hơn vào PC của mình — kiểm tra xem máy tính của bạn có nhận được hỗ trợ từ nhà sản xuất hay không, liệu bạn có cần thực hiện cập nhật UEFI/BIOS thủ công hay không, v.v. Bạn có thể đọc thêm về những việc cần làm trong hướng dẫn cập nhật Secure Boot của chúng tôi.

Điều gì xảy ra nếu tôi không thể cập nhật chứng chỉ Secure Boot?

Các bước tiếp theo của bạn phụ thuộc vào việc PC của bạn nhận được cảnh báo màu vàng hay màu đỏ. Màu vàng thường có nghĩa là bạn chỉ cần kiên nhẫn thêm một thời gian nữa (và đảm bảo rằng UEFI/BIOS của bạn đã được cập nhật).

Màu đỏ có thể có nghĩa là PC của bạn sẽ không nhận được chứng chỉ Secure Boot mới. Một số nhà sản xuất đã tuyên bố kết thúc hỗ trợ cho một số sản phẩm đã ngừng vòng đời. Điều này có nghĩa là bạn sẽ không nhận được bản cập nhật UEFI/BIOS cần thiết cho chứng chỉ 2023 mới hơn.

Trong tình huống đáng tiếc này, bạn có hai lựa chọn chính. Để tiếp tục sử dụng Windows, bạn sẽ phải mua một PC mới. Hoặc, bạn sẽ cần làm quen với Linux — cụ thể là một bản phân phối có thể giải quyết khoảng trống này.