Tal y como os hemos comentado a lo largo de los últimos meses, el pasado mes de junio fue la fecha límite para que nuestros equipos con Windows actualizasen su certificado de Arranque Seguro. Esto ayuda a proteger nuestros equipos antes de cargar el propio sistema operativo.
Hablamos de un certificado que lleva funcionando desde el pasado año 2011, por lo que ya había llegado el momento de actualizarlo. Esto es algo de lo que se encarga la propia Microsoft de forma automática en la mayoría de los casos. Sin embargo, en estos momentos aún hay muchos equipos sin actualizar este importante certificado de seguridad y los usuarios empiezan a preocuparse.
Tanto es así que Microsoft ha salido al paso de la incertidumbre generada entre los usuarios de Windows 11 y Windows 10 que todavía no han recibido los nuevos certificados de Arranque Seguro, como os vamos a contar.
La compañía asegura que estos equipos seguirán arrancando con normalidad y que continuará enviando la actualización de certificados a través de Windows Update durante los próximos meses. Todo ello sin que la falta de las nuevas firmas suponga un corte inmediato del servicio.
La confirmación de todo ello llega junto a las notas de la KB5101650, la actualización de julio. Microsoft explica que los equipos sin las nuevas firmas seguirán arrancando e instalando actualizaciones con normalidad, mientras la compañía continuará repartiendo los certificados de 2023 en los próximos meses.
Los certificados de 2011 caducan por fases, pero el ordenador sigue arrancando
Arranque Seguro es la función del firmware UEFI que comprueba la firma digital de cada componente antes de que cargue el sistema operativo, cerrando el paso a rootkits y bootkits que intentan ejecutarse antes que Windows. Su fiabilidad depende de certificados criptográficos, y los que llevan activos desde Windows 8, emitidos en 2011, acumulan ya quince años de servicio, un plazo que Microsoft considera excesivo.
El riesgo real está en que un equipo atascado con la clave KEK de 2011 solo puede recibir listas de revocación DBX firmadas con esa misma clave, y Microsoft perdió la capacidad de firmar con ella el 24 de junio. Esa lista bloquea los bootloaders comprometidos, el tipo de amenaza que aprovechó, por ejemplo, BlackLotus, el bootkit UEFI descubierto en 2023 y que logró saltarse el Arranque Seguro en equipos Windows 11 parcheados.
Los certificados de 2023 sustituyen a los tres anteriores con estándares criptográficos actuales y permiten que las revocaciones sigan llegando sin cortes.
Cómo comprobar en qué estado está el Arranque Seguro
Debemos saber que Windows incorpora desde abril de 2026 un indicador visual en la aplicación Seguridad de Windows que nos muestra el estado exacto de la transición. Para comprobarlo solo tenemos que abrir Seguridad del dispositivo en la app de Configuración y localizar el apartado Arranque seguro.
Aquí vamos a encontrarnos con un código de colores con tres resultados posibles según la configuración de cada equipo. Un icono verde con el estado completado indica que los certificados modernos ya están instalados. Un aviso amarillo nos señala que Windows todavía necesita reunir datos de compatibilidad sobre el firmware antes de continuar, así que conviene esperar a la siguiente actualización.
El despliegue seguirá avanzando en los próximos meses
Un icono rojo avisa de una incompatibilidad de firmware que bloquea el proceso, y ahí la solución pasa por instalar la última actualización de BIOS publicada por el fabricante de nuestro equipo.
Microsoft ha dejado claro que seguirá empujando los certificados de 2023 a través de Windows Update en los próximos meses, respetando los tiempos de compatibilidad de cada equipo. Para la mayoría de usuarios domésticos, la recomendación se reduce a mantener el ordenador conectado y las actualizaciones automáticas activas.
Con todo y con ello, el gigante tecnológico quiere tranquilizar a aquellos que aún no hayan recibido el certificado mencionado, asegurando que si su equipo es compatible, les llegará en breve.