UEFI CA 2023 - Wie seht ihr es?

Microsoft steuert über HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot die Implementierung der neuen Zertifikate ins Bios und die Aktualisierung des Bootloaders.

Siehe https://support.microsoft.com/en-us/topic/how-to-manage-the-windows-boot ...

Die Enforcemant Phase (Zeitpunkt) ist von Microsoft offensichtlich noch nicht definiert. Man kann die Änderungen allerdings vorab manuell anstoßen.

Lasst uns diskutieren......

Unsere Erfahrungen:

- (1) Installation des neuen Zertifikats in der DB: In unseren Versuchen immer erfolgreich
- (2) Update Bootloader: In unseren Versauchen immer erfolgreich
- (2) Altes CA 2011 in die DBX aufnehmen: In unseren Versuchen immer erfolgreich

Wir haben auch einen Bootstick erstellt, mit dem das CA 2023 direkt in die DB geschrieben werden kann (für den Fall, eines Bios Resets etc.): In unseren Versuchen immer erfolgreich.

Unsere Fragen:

- Macht ihr in dieser Angelegenheit schon vorab (Server/PCs) etwas oder wartet ihr die Enforcemant Phase ab?
- Was ist mit dem KEK? Wäre hier auch Handlungsbedarf? Im Microsoft Artikel können wir diesbezüglich nichts finden.