Secure Boot do Windows 11 se transforma em dor de cabeça para PCs antigos, e nem a Microsoft consegue resolver tudo

 A transição dos certificados do Secure Boot no Windows 11 está se mostrando muito mais complicada do que a Microsoft e os fabricantes esperavam. O que deveria ser uma atualização de segurança relativamente simples acabou revelando problemas de compatibilidade, falhas de firmware e situações que continuam sem uma solução clara.

A mudança faz parte da substituição dos antigos certificados de 2011 pelos novos certificados de 2023. O objetivo é manter a inicialização segura do Windows protegida contra ameaças modernas, mas a implementação tem encontrado obstáculos principalmente em equipamentos mais antigos.

Em uma reunião realizada com fabricantes como ASUS, Dell, HP, Lenovo, Acer e outras empresas, engenheiros da Microsoft discutiram os problemas enfrentados por administradores de TI durante a transição. A conversa, porém, mostrou que nem todas as dificuldades puderam ser resolvidas.

Em alguns casos, as próprias correções recomendadas pela documentação oficial simplesmente não funcionaram como esperado.

Placas-mãe da ASUS chegaram a recusar determinadas atualizações enquanto o Secure Boot estava ativado. Alguns modelos da MSI ignoraram os pacotes mesmo indicando que o recurso de segurança estava funcionando normalmente. Já equipamentos da ASRock exigiram redefinições manuais das chaves e novos processos de registro.

Um caso particularmente complicado envolveu uma placa-mãe B550 que começou a exibir um falso aviso de alteração do processador a cada reinicialização após a atualização. Depois de não conseguir resolver o problema pelo firmware, o responsável acabou substituindo a própria placa.

Nos computadores corporativos, a situação também se mostrou delicada. Administradores relataram loops de recuperação do BitLocker, chaves KEK que não eram atualizadas e computadores que continuavam exibindo um status desconhecido mesmo após receberem os novos certificados.

Em uma frota com centenas de notebooks HP, por exemplo, a instalação forçada dos certificados levou alguns equipamentos a entrar repetidamente na tela de recuperação do BitLocker. O problema persistiu mesmo depois da instalação de versões mais recentes da BIOS.

Outro administrador relatou que os certificados DB foram atualizados corretamente em cerca de 700 notebooks, mas a chave KEK continuava presa no estado “Not Started” após cada reinicialização.

Esses casos mostram que o problema não está necessariamente concentrado em uma única marca. A grande dificuldade está na enorme variedade de implementações de UEFI, firmware e hardware existentes no mercado.

Computadores mais antigos acabam sendo especialmente vulneráveis a esse tipo de complicação. Alguns possuem limitações de armazenamento na memória NVRAM, enquanto outros dependem de versões específicas da BIOS para conseguir acomodar os novos certificados.

Em certos modelos, fabricantes chegaram a remover equipamentos antigos de suas listas de compatibilidade depois de descobrir que o hardware não tinha espaço suficiente para armazenar a nova cadeia de certificados.

A Microsoft também reconheceu que alguns dispositivos podem apresentar informações inconsistentes. Um computador pode ter os certificados de 2023 instalados, Secure Boot ativado e TPM funcionando corretamente, mas ainda assim aparecer com o status “Unknown”.

Em outras situações, a atualização simplesmente é bloqueada para determinadas combinações de hardware e firmware porque a Microsoft identificou riscos de incompatibilidade.

O resultado é uma transição que se tornou muito mais complexa do que parecia inicialmente. Atualizar a BIOS pode causar problemas próprios, enquanto instalar os novos certificados pode desencadear falhas relacionadas ao BitLocker ou ao processo de inicialização.

Por isso, administradores de sistemas são aconselhados a tratar as duas operações como riscos diferentes, mesmo quando estão relacionadas. Antes de realizar mudanças em larga escala, é importante testar os procedimentos em equipamentos representativos e garantir que as chaves de recuperação do BitLocker estejam devidamente protegidas.

Para usuários domésticos, a situação tende a ser menos complicada. A maioria dos computadores compatíveis recebe as atualizações automaticamente e não exige intervenção manual. Porém, proprietários de PCs mais antigos podem encontrar dificuldades caso o hardware esteja fora da lista de compatibilidade ou utilize um firmware com limitações específicas.

A transição dos certificados do Secure Boot mostra uma realidade pouco visível para a maioria das pessoas: o Windows não funciona sozinho. O sistema depende de uma complexa combinação entre software, firmware, BIOS, fabricantes e hardware.

Quando uma dessas peças não acompanha a evolução das outras, até uma atualização criada para melhorar a segurança pode se transformar em uma verdadeira dor de cabeça.

E, neste caso, a Microsoft ainda não conseguiu resolver todos os problemas.