Windows Güvenli Önyükleme Sertifikası Geçişi ve Eski Donanımlara Etkisi

Giriş

Microsoft, Windows işletim sistemlerinde güvenlik standartlarını sürekli olarak güncellemektedir. Bu kapsamda, Güvenli Önyükleme (Secure Boot) mekanizması için kullanılan sertifikaların yenilenmesi gerekmektedir. 2011 yılında yayınlanan orijinal sertifikaların süresi dolmak üzere olup, bu durum gelecekteki güvenlik tehditlerine karşı korumasız kalınmasına neden olabilir. Microsoft'un 2023 yılında tanıttığı yeni sertifikalar, 2026 Haziran ayına kadar tüm sistemlere uygulanmalıdır. Bu makalede, sertifika geçiş süreci, eski donanımlara etkileri ve uygulanabilecek çözümler detaylandırılmaktadır.

Sorun Tanımı

Windows 10 ve Windows 11 sistemlerinde kullanılan Güvenli Önyükleme teknolojisi, önyükleme sırasında çalıştırılan kodların doğrulanmasını sağlayarak kötü amaçlı yazılımların sistemlere bulaşmasını engeller. Bu teknoloji, UEFI (Unified Extensible Firmware Interface) firmware'leri tarafından desteklenmekte olup, Microsoft tarafından yayınlanan sertifikalarla çalışmaktadır. 2011 yılında yayınlanan sertifikaların süresi dolmak üzere olup, aşağıdaki sorunlara yol açabilir:

• Güvenlik Açığı Riski: Eski sertifikalar, yeni keşfedilen kötü amaçlı önyükleyicilerin engellenmesini imkansız hale getirebilir.
• Güncelleme Zorunluluğu: Microsoft, 2026 Haziran ayına kadar tüm sistemlerin yeni sertifikalara geçmesini zorunlu kılmaktadır. Bu tarihe kadar güncelleme yapılmayan sistemler, standart Windows güncellemelerini almaya devam edecektir, ancak gelecekteki güvenlik revokasyonlarını işleyemeyecektir.
• Donanım Uyumluluğu: Özellikle 2012 yılından önce üretilmiş eski donanımlarda, yeni sertifikaların desteklenmesi için ek işlemler gerekebilir.

Çözüm Adımları

1. Mevcut Sertifika Durumunun Kontrol Edilmesi

Sisteminizdeki Güvenli Önyükleme sertifikalarının durumunu aşağıdaki adımları izleyerek kontrol edebilirsiniz:

1. Komut İstemi'ni Yönetici Olarak Açın:

   cmd.exe

2. Komut istemine aşağıdaki komutu girin ve Enter tuşuna basın:

   bcdedit /enum {current}

3. Çıktı içerisinde secureboot değerinin Yes olarak ayarlı olup olmadığını kontrol edin. Eğer No olarak görünüyorsa, Güvenli Önyükleme devre dışı demektir.

2. Sertifika Geçişinin Gerçekleştirilmesi

Eski sistemler için sertifika geçişi manuel olarak yapılabilir. Aşağıdaki adımlar izlenmelidir:

1. UEFI Ayarlarını Kontrol Edin:
   • Bilgisayarınızı yeniden başlatın ve BIOS/UEFI ayarlarına girin (genellikle F2, Del veya Esc tuşlarına basılarak erişilir).
   • Secure Boot seçeneğinin Enabled olarak ayarlı olduğundan emin olun.
2. Windows Update ile Sertifika Güncellemesi:
   • Windows Update üzerinden en son güvenlik güncellemelerini yükleyin.

     Settings > Update & Security > Windows Update > Check for updates

   • Eğer sistemde elle sertifika güncellemesi gerekiyorsa, Microsoft'un resmi Secure Boot DBX güncelleme aracını kullanabilirsiniz.
3. Elle Sertifika Yükleme (Gelişmiş Kullanıcılar İçin):
   • Microsoft'un sertifika dosyalarını resmi sitesinden indirin.
   • İndirilen dosyaları C:\Windows\System32\SecureBoot klasörüne kopyalayın.
   • Aşağıdaki komutu çalıştırarak sertifikaları kaydedin:

     certutil -addstore dbx C:\Windows\System32\SecureBoot\2023.cer

3. Eski Donanımlarda Ek Önlemler

2012 yılından önce üretilmiş eski donanımlarda, yeni sertifikaların desteklenmesi için aşağıdaki ek adımlar gerekebilir:

1. Firmware Güncellemesi:
   • Üreticinizin web sitesinden en son BIOS/UEFI güncellemesini indirin ve yükleyin.

     wmic bios get smbiosbiosversion

2. Alternatif Önyükleme Modlarının Devre Dışı Bırakılması:
   • Eski sistemlerde, Legacy BIOS modu kullanılıyorsa, UEFI moduna geçiş yapılması gerekmektedir. Bu işlem için:

     msconfig > Boot > Advanced options > Safe boot (Uncheck)

3. Üçüncü Parti Güvenlik Yazılımlarının Kontrolü:
   • Eski sistemlerde kullanılan üçüncü parti önyükleme koruma yazılımları (örneğin, GRUB veya rEFInd), Güvenli Önyükleme ile çakışabilir. Bu yazılımların güncel olduğundan ve Secure Boot ile uyumlu olduğundan emin olun.

Komutlar ve Kodlar

Aşağıda, sertifika geçişi sırasında kullanabileceğiniz önemli komutlar ve kodlar listelenmiştir:

# Mevcut Secure Boot durumunu kontrol etme
bcdedit /enum {current}

# Secure Boot durumunu etkinleştirme (varsa)
bcdedit /set {current} bootmenupolicy standard

# Sertifika deposuna elle sertifika ekleme
certutil -addstore dbx C:\Windows\System32\SecureBoot\2023.cer

# UEFI ayarlarını sıfırlama (varsa)
bcdedit /deletevalue {current} bootmenupolicy

# Güvenlik güncellemelerini zorla yükleme
dism /online /add-package /packagepath:"C:\Windows\Servicing\Packages\Microsoft-Windows-SecureBoot-2023~amd64~~10.0.19041.1200.cab"

⚠️ Uyarı: Elle sertifika yükleme işlemleri, sistem kararsızlığına yol açabilir. Lütfen yedek alın ve gerekirse bir IT uzmanına danışın.

Sık Karşılaşılan Sorunlar ve Çözümleri

1. "Secure Boot devre dışı" hatası

Bu hata genellikle BIOS/UEFI ayarlarında Secure Boot'un devre dışı bırakılmasından kaynaklanır. Çözüm için:

• Bilgisayarınızı yeniden başlatın ve BIOS/UEFI ayarlarına girin.
• Secure Boot seçeneğini Enabled olarak ayarlayın.
• Değişiklikleri kaydedin ve sistemi yeniden başlatın.

2. Sertifika yükleme başarısızlığı

Eğer sertifika yükleme işlemi başarısız olursa:

• İndirilen sertifika dosyasının doğru olduğundan emin olun.
• Sisteminizdeki Secure Boot ayarlarını yeniden kontrol edin.
• Windows Update üzerinden en son güncellemeleri yükleyin.

3. Eski donanımlarda performans düşüşü

Eski donanımlarda UEFI moduna geçiş, performans düşüşüne neden olabilir. Bu durumda:

• Legacy BIOS modunu kullanmaya devam edin, ancak Güvenli Önyükleme'yi devre dışı bırakın.
• Üçüncü parti önyükleme yöneticilerini kullanmayı düşünün (örneğin, rEFInd).

Sonuç

Windows Güvenli Önyükleme sertifikalarının geçişi, sistem güvenliğinin korunması açısından kritik öneme sahiptir. 2026 Haziran ayına kadar sertifikaların güncellenmesi zorunlu olsa da, bu işlem eski donanımlarda ek dikkat gerektirebilir. Yukarıda belirtilen adımları takip ederek, sisteminizin hem güvenli hem de performanslı bir şekilde çalışmasını sağlayabilirsiniz. Eğer sertifika geçişi sırasında herhangi bir sorunla karşılaşırsanız, Microsoft'un resmi destek kaynaklarından veya IT uzmanlarından yardım almayı unutmayın.

Kaynaklar

• Microsoft Secure Boot DBX Güncelleme Aracı
• Microsoft Secure Boot Sertifikaları
• 4sysops Makalesi