Windows está cambiando en silencio sus certificados de Secure Boot - y los PC más antiguos están topando con problemas
Escondido en las actualizaciones de Windows de este verano hay un cambio que la mayoría de la gente nunca notará, y que un pequeño número notará por las malas. Los certificados de seguridad que hacen funcionar Secure Boot se emitieron allá por 2011, y han empezado a caducar. El certificado KEK de Microsoft venció el 24 de junio de 2026, y otros lo harán hasta octubre. Windows está instalando nuevos certificados de 2023, válidos hasta 2038.
Para la mayoría de los PC domésticos esto no supone nada. Si Windows Update está activado y Secure Boot está habilitado (lo habitual en cualquier equipo razonablemente moderno), los nuevos certificados se instalan en silencio en segundo plano y tú sigues con lo tuyo. No hace falta hacer nada, y simplemente funciona.
Con el hardware más antiguo la cosa se complica. En una reunión con fabricantes de PC el 15 de julio, Microsoft admitió que ni ellos ni los fabricantes pueden solucionar todos los casos. Algunos equipos de 2018 o anteriores no tienen suficiente espacio de almacenamiento en el firmware para los nuevos certificados; en ciertos modelos, la actualización desencadena un aviso de recuperación de BitLocker al reiniciar, que pide una clave de 48 dígitos que muchas personas nunca han visto. Un PC que nunca recibe los nuevos certificados sigue arrancando y funcionando con normalidad, pero deja de recibir protección para la parte más temprana y sensible del arranque.
Lo único que merece la pena hacer ahora es asegurarte de que puedes encontrar tu clave de recuperación de BitLocker antes de que una actualización la pida; está guardada en tu cuenta de Microsoft, en account.microsoft.com/devices. La comprobación del estado de seguridad de Tendvane señala si BitLocker está activado y te recuerda que hagas copia de esa clave, y su comprobación de actualizaciones pendientes confirma que Windows está al día para que el cambio de certificados llegue de verdad a tu PC.