关键 Windows 安全证书刚刚过期：如何检查你的电脑
影响超十亿台电脑的 Windows Secure Boot 证书到期
Windows Secure Boot 的核心证书之一已于近期正式过期，这一变化可能影响超过十亿台正在运行 Windows 的 PC。Secure Boot 是 UEFI 固件安全标准的一部分，旨在防止恶意软件在系统启动时加载，其有效性依赖于一系列内置的证书和密钥。
证书到期意味着什么？
此次过期的证书是 Windows Production PCA 2011，它被用于签署启动加载程序和系统固件。当证书过期后，理论上使用该证书签名的旧版启动组件将无法通过 Secure Boot 的验证，可能导致某些设备无法正常启动，或出现安全警告。不过，微软已提前通过 Windows Update 发布了补丁，以更新受信任的证书列表，确保大多数用户不会立即遇到问题。
值得注意的是，Linux 发行版也可能受到影响。许多 Linux 系统为了兼容 Secure Boot，会使用微软签名的 Shim 引导加载程序，而 Shim 同样依赖这些证书。因此，未及时更新引导加载程序的 Linux 用户可能遇到启动失败。
如何检查你的 PC 是否受影响？
要检查你的 Windows 电脑是否已应用相关更新，可以按以下步骤操作：
- 打开 设置 > 更新和安全 > Windows 更新，查看是否有待安装的更新。
- 确保安装了 2024 年 11 月及之后发布的累积更新。
- 对于高级用户，可以运行
certutil -store -user命令查看证书存储，确认 Windows Production PCA 2011 的过期状态。
如果你使用的是较旧的 Windows 版本（如 Windows 7 或 8.1），微软已不再提供更新，这些设备可能面临更高的风险。建议升级到受支持的 Windows 10 或 Windows 11。
行业影响与未来展望
这是 Windows Secure Boot 证书首次大规模到期，但不会是最后一次。微软计划在未来几年内逐步淘汰更多旧证书，并推动硬件厂商采用更灵活的密钥管理方案。这也提醒我们，即便是在操作系统层面，安全基础设施也需要持续维护和更新。对于企业和 IT 管理员而言，应确保所有设备都安装了最新的安全补丁，并考虑使用 Windows Autopilot 等工具管理启动策略。
总的来说，虽然证书过期听起来很严重，但微软已经为此准备了较长的过渡期。只要保持系统更新，绝大多数用户不会遇到实际故障。不过，如果你仍在运行未经更新的旧系统，现在是时候认真考虑升级了。
