Diep in de firmware van miljoenen Windows-computers tikt een klok af richting juni 2026. Een klok waar vrijwel niemand van weet, maar die bepaalt of jouw pc in de toekomst nog veilig kan blijven opstarten.
Microsoft heeft de uitrol van de nieuwe Secure Boot-certificaten voor een aantal oudere Windows 11-computers tijdelijk gepauzeerd. Sinds de publicatie van dit artikel heeft Microsoft bevestigd dat de installatie op bepaalde systemen compatibiliteitsproblemen veroorzaakt. Om te voorkomen dat computers onbruikbaar worden of in een BitLocker-herstelprocedure terechtkomen, is de uitrol voor deze apparaten voorlopig stopgezet.
Controleert Windows de compatibiliteit van jouw systeem en wordt een mogelijk probleem vastgesteld? Dan kan in Windows Beveiliging een melding verschijnen dat de Secure Boot-update geblokkeerd is vanwege een bekend probleem.
Een systeem dat de nieuwe certificaten nog niet heeft ontvangen blijft gewoon werken:
- het blijft normaal opstarten;
- het blijft reguliere Windows-beveiligingsupdates ontvangen;
- het blijft gewoon bruikbaar.
Het enige verschil is dat toekomstige beveiligingsverbeteringen voor het opstartproces nog niet kunnen worden toegepast totdat Microsoft en de hardwarefabrikant een oplossing beschikbaar hebben.
Mijn advies: ga de certificaatupdate niet handmatig forceren als jouw systeem aangeeft dat deze is geblokkeerd. Wacht totdat Microsoft en de fabrikant een officiële oplossing hebben uitgebracht via Windows Update of een BIOS-/UEFI-update. Controleer regelmatig of nieuwe firmware-updates beschikbaar zijn, want bij oudere systemen kan een BIOS- of UEFI-update noodzakelijk zijn voordat de nieuwe certificaten veilig kunnen worden geïnstalleerd.
Voor zeer oude computers kan de situatie minder rooskleurig zijn: Microsoft geeft aan dat sommige fabrikanten geen nieuwe firmware meer uitbrengen voor oudere modellen, waardoor deze systemen de nieuwe Secure Boot-certificaten mogelijk nooit zullen ontvangen. Ik blijf de ontwikkelingen volgen en werk dit artikel bij zodra er meer duidelijkheid is.
Nee, dit is geen verhaal over Windows 12. Ook niet over kunstmatige intelligentie, abonnementen of de volgende hardwarehype die fabrikanten je proberen aan te smeren. Dit gaat over iets veel fundamentelers: het beveiligingsslot op de voordeur van je computer. Dat slot heet Secure Boot. En de digitale sleutels waarop dat systeem vertrouwt, beginnen te verlopen.
De meeste gebruikers hebben waarschijnlijk nog nooit van Secure Boot gehoord. Dat is eigenlijk een compliment. Goede beveiliging werkt op de achtergrond, net zoals je tijdens het autorijden niet voortdurend nadenkt over airbags of ABS. Je verwacht simpelweg dat ze hun werk doen wanneer dat nodig is. Maar soms moet zelfs de beveiliging zelf onderhouden worden. Dat moment is nu aangebroken.
Wat is Secure Boot eigenlijk?
Voordat Windows wordt gestart, gebeurt er al van alles achter de schermen. Moderne computers gebruiken geen ouderwetse BIOS meer, maar een systeem dat UEFI heet. Zie UEFI als de digitale portier van je computer: nog voordat Windows ook maar één seconde draait, controleert UEFI of alles wat probeert op te starten wel betrouwbaar is.
Daar komt Secure Boot om de hoek kijken. Secure Boot controleert of de software die tijdens het opstarten wordt geladen voorzien is van geldige digitale handtekeningen. Alleen software die door vertrouwde partijen is ondertekend, krijgt toestemming om verder te gaan. Dat voorkomt dat malware zich diep in het opstartproces nestelt, want als een aanvaller controle krijgt vóórdat Windows is gestart, wordt detectie een stuk lastiger. Secure Boot vormt letterlijk de eerste verdedigingslinie van je pc.
Waarom is er nu ineens een probleem?
Omdat digitale certificaten niet eeuwig geldig zijn. Toen Microsoft Secure Boot introduceerde, werden daarvoor certificaten uitgegeven die teruggaan naar 2011. Die certificaten vormen de basis van het vertrouwen binnen het Secure Boot-systeem. Maar certificaten hebben een houdbaarheidsdatum, en een aantal van die certificaten bereikt in 2026 het einde van zijn levensduur.
Dat betekent niet dat miljoenen computers op één ochtend spontaan weigeren op te starten. Wat het wel betekent, is dat systemen zonder de nieuwe certificaten op termijn belangrijke beveiligingsupdates kunnen missen, waardoor het moeilijker wordt nieuwe bedreigingen tegen te houden. Je kunt het vergelijken met een paspoort: op de dag dat het verloopt, verlies je niet direct je identiteit, maar vroeg of laat loop je tegen een gesloten deur aan.
Welke certificaten verlopen er precies?
De certificaten die worden vervangen:
| Oud (verlopen) | Nieuw (2023) |
|---|---|
| Microsoft Corporation KEK CA 2011 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | Microsoft UEFI CA 2023 |
Microsoft is bezig om de nieuwe certificaten automatisch uit te rollen via Windows Update. Op veel moderne systemen verloopt dit volledig automatisch. Maar sommige fabrikanten moeten aanvullende firmware-updates beschikbaar stellen voordat de nieuwe certificaten correct kunnen worden toegepast.
Wie loopt risico?
Veel moderne Windows 11-computers ontvangen de benodigde updates automatisch via Windows Update. Maar dat geldt niet altijd voor oudere systemen. Voor sommige apparaten zijn ook firmware-updates van de fabrikant nodig. En daar begint het bekende computerspelletje: Microsoft wijst naar de fabrikant, de fabrikant wijst naar het moederbord, het moederbord wijst naar de leverancier, en de gebruiker kijkt ondertussen naar een scherm waarop staat dat alles "up-to-date" is. Systemen van enkele jaren oud verdienen daarom extra aandacht.
Wat moet je doen?
Eigenlijk verrassend weinig:
- Zorg dat Windows volledig bijgewerkt is.
- Installeer optionele firmware-updates van je fabrikant.
- Controleer de status van Secure Boot via Windows Beveiliging → Apparaatbeveiliging → Details van Secure Boot.
- Stel firmware-updates niet jarenlang uit.
Technische verdieping voor IT'ers en beheerders
Voor de meeste gebruikers stopt het verhaal hier. Ben je systeembeheerder, consultant of helpdeskmedewerker? Dan kun je met PowerShell controleren welke Secure Boot-certificaten aanwezig zijn en hoe ver de migratie naar de nieuwe certificaten gevorderd is.
Controleren of Secure Boot actief is
Het eerste wat je wilt weten: staat Secure Boot überhaupt aan?
Confirm-SecureBootUEFI
De Platform Key (PK) bekijken
De Platform Key is de hoogste vertrouwenslaag binnen Secure Boot. Deze sleutel bepaalt wie wijzigingen mag aanbrengen aan de Secure Boot-configuratie.
Get-SecureBootUEFI -Name PK
De Key Exchange Keys (KEK) bekijken
De KEK-sleutels worden gebruikt voor het ondertekenen van updates aan de Secure Boot-database. Hier vind je de oude KEK CA 2011 en uiteindelijk ook de nieuwe KEK 2K CA 2023.
Get-SecureBootUEFI -Name KEK
De Secure Boot Database (DB) bekijken
Deze database bevat alle vertrouwde certificaten waarmee software tijdens het opstartproces wordt gevalideerd, waaronder Windows Boot Manager, Linux bootloaders en EFI-applicaties. Het certificaat Microsoft UEFI CA 2011 wordt hier vervangen door Microsoft UEFI CA 2023.
Get-SecureBootUEFI -Name db
De Revocation Database (DBX) bekijken
Waar de DB bepaalt wat vertrouwd wordt, bepaalt de DBX juist wat niet langer vertrouwd mag worden: gecompromitteerde bootloaders, kwetsbare EFI-componenten en ingetrokken certificaten. Microsoft werkt deze database regelmatig bij om bekende beveiligingsproblemen te blokkeren.
Get-SecureBootUEFI -Name dbx
Snel controleren of het nieuwe 2023-certificaat aanwezig is
Wil je in één klap weten of het nieuwe certificaat al in de DB zit?
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Status van de certificaatmigratie controleren
Dit is de meest directe manier om te zien hoe ver de migratie gevorderd is. Microsoft houdt de voortgang bij in het register:
Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\ ` -Name UEFICA2023Status | Select-Object UEFICA2023Status
De betekenis van de teruggekregen waarden:
| Waarde | Status | Actie vereist? |
|---|---|---|
| 112 | ✓ Voltooid (Completed) | Nee, alles in orde |
| 80 | ▮ Bezig (In Progress) | Herstart de pc, check Windows Update |
| 0 / ontbrekend | Nog niet gestart | Installeer recente updates + fabrikants-firmware |
PK, KEK, DB en DBX in mensentaal
Zie Secure Boot als een streng bewaakte luchthaven:
| Onderdeel | Functie |
|---|---|
| PK | De luchthavenbeheerder - bepaalt wie de regels mag aanpassen |
| KEK | De medewerkers die toegangskaarten mogen uitgeven |
| DB | De lijst met reizigers die welkom zijn |
| DBX | De zwarte lijst met geweigerde reizigers |
Wanneer een bootloader wordt gestart, controleert Secure Boot eerst of deze voorkomt in de DB en niet voorkomt in de DBX. Alleen dan krijgt de software toestemming om verder te gaan.
Geen reden tot paniek, wel reden tot aandacht
Het internet houdt van rampscenario's. "START JOUW PC STRAKS NOG WEL OP?" - dat soort koppen levert veel klikken op. De werkelijkheid is gelukkig minder dramatisch. Voor de meeste gebruikers zal de overgang ongemerkt verlopen.
Maar juist omdat het grotendeels automatisch gaat, is het verstandig om één keer te controleren of jouw systeem daadwerkelijk klaar is voor de toekomst. Secure Boot is een van die beveiligingslagen waar je normaal gesproken nooit over nadenkt. En dat is precies hoe het hoort. Maar heel af en toe moet zelfs de digitale portier een nieuwe sleutel krijgen. Juni 2026 is zo'n moment.