Naslov i uvod
U lipnju ove godine na milijunima Windows računala dogodit će se nešto što većina korisnika nikada neće vidjeti: izvorna Secure Boot potvrdila, koja od ere Windows 8 čuvaju proces pokretanja, počinju istjecati. Ako sve prođe glatko, ništa se spektakularno neće dogoditi. Ako ne, pojavit će se misteriozne greške pri instalaciji novih verzija Windowsa ili čak pri pokretanju modernih operacijskih sustava. U ovom tekstu nećemo ponavljati Microsoftove upute, nego ćemo analizirati što ova promjena znači za hrvatske korisnike, javni sektor i regionalno tržište.
Vijest ukratko
Kako piše Ars Technica, Microsoft upozorava da će se Secure Boot potvrdila koja se koriste još od 2011. za provjeru bootloadera na UEFI računalima početi gasiti u lipnju 2026., uz dodatne datume u listopadu.
Secure Boot je uveden s Windows 8, a formalni uvjet za instalaciju postao je s Windows 11 (2021.). Cijelo to vrijeme oslanjao se na istu Microsoftovu certifikacijsku hijerarhiju, koja se sada mijenja novim potvrdilima iz 2023.
Microsoft nove ključeve uglavnom isporučuje putem Windows Updatea, upisujući ih u NVRAM UEFI firmwarea. Mnoga računala već su dobila ta potvrdila neprimjetno u pozadini, a noviji modeli ih imaju u BIOS/UEFI-u već iz tvornice.
Ako računalo ne dobije ažuriranje, i dalje će moći pokretati postojeći OS, ali neće moći primati buduće sigurnosne nadogradnje na razini boot procesa i s vremenom bi moglo ostati bez podrške za nove verzije Windowsa i druge sustave koji vjeruju samo lancu iz 2023.
Zašto je to važno
Ovdje ne govorimo o još jednom „običnom“ patchu, nego o zamjeni temeljnog kriptografskog sidra na kojem počiva povjerenje u PC.
Posljedice se mogu sažeti u nekoliko točaka:
- Sigurnosni plafon: Računala koja ostanu na starim potvrdilima više neće moći dobivati nove mitigacije za ranjivosti u firmwareu i bootloaderima. U trenutku kad su UEFI napadi sve češći, to je ozbiljno ograničenje.
- Postupni raskorak s novim OS‑ovima: Kratkoročno će sve raditi. No kako nove verzije Windowsa i Linux distribucija budu napuštale podršku za staru CA, ti će strojevi sve češće odbijati pokretati instalacije i kernele, iako im je hardver još uvijek sasvim sposoban.
- Operativni trošak: Za škole, javnu upravu ili tvrtke to znači popisivanje opreme, provjeru stanja Secure Boota i firmwarea te planiranje što učiniti s uređajima koji se ne mogu ažurirati.
Tko profitira? U užem smislu svi koji žele jaču sigurnost: Microsoft, OEM proizvođači i korisnici dobivaju čvršći lanac povjerenja od samog starta sustava.
Ali postoje i gubitnici:
- Vlasnici starijih, ali funkcionalnih PC‑jeva, čiji proizvođač više ne isporučuje BIOS nadogradnje.
- Organizacije s lošom praksom ažuriranja, u kojima su Windows Update i firmware updatei godinama zanemareni.
U pozadini se postavlja šire pitanje: koliko dugo očekujemo da jedno računalo ostane „prvoklasno“ u sigurnosnom smislu? Ova rotacija potvrdila tiho povlači crtu između generacije Windows 8/10 i svijeta nakon Windows 11.
Šira slika
Slične lomove već smo vidjeli na mrežnoj razini: kada su istjecala neka TLS root potvrdila (poput onih povezanih s Let’s Encryptom 2021.), stariji mobiteli, pametni TV‑i i mrežni uređaji počeli su nasumično odbijati sigurne veze. Uvijek ista priča: dugovječni uređaji, a kriptografske osnove s rokom trajanja.
Sada se taj problem seli u firmware.
Microsoft već godinama pojačava kontrolu nad ranim fazama boot procesa: Secure Boot s Windows 8, stroži defaulti u Windows 10, zatim obvezni TPM 2.0 i Secure Boot za Windows 11. Na hardverskoj strani pojavili su se „Secured‑core“ PC‑ji s još čvršće integriranim firmwareom. Rotacija Secure Boot potvrdila logičan je nastavak tog trenda.
Istodobno se mijenja i prijetnja: UEFI rootkitovi više nisu laboratorijska zanimljivost, nego konkretan alat napadača koji žele trajnu prisutnost na sustavu. Iz te perspektive, oslanjanje na istu CA iz 2011. postaje teško obranjivo.
No, ovo ponovno otvara i staru raspravu sigurnost vs. zatvaranje ekosustava. Secure Boot je od početka bio sporan u Linux zajednici, jer Microsoftu i OEM proizvođačima daje veliku moć nad time što se smije pokrenuti na računalu. Svaka promjena potvrdila bez pažljivog razmišljanja o dual‑boot scenarijima, alternativnim OS‑ovima i vlastitim korisničkim ključevima može dodatno otežati slobodno korištenje hardvera.
U konačnici, klasični PC se i ovdje pomalo približava modelu pametnog telefona – s jakim, vendor‑kontroliranim kriptografskim temeljima koji u praksi određuju i sigurnost i stvarni vijek podrške.
Europski i regionalni kontekst
Za Hrvatsku i ostale članice EU‑a ovaj rok dolazi usred velikog zaokreta prema reguliranoj kibernetičkoj sigurnosti.
Direktiva NIS2 proširuje obveze sigurnosti na niz sektora – od energetike i financija do javne uprave i zdravstva. Budući Akt o kibernetičkoj otpornosti (CRA) nametnut će proizvođačima obvezu višegodišnjih sigurnosnih ažuriranja za povezane proizvode.
Rotacija Secure Boot potvrdila savršeno se uklapa u tu priču: tko ozbiljno računa s napadima na firmware, mora imati mogućnost osvježavanja lanca povjerenja.
Specifičnosti Hrvatske i regije:
- Duga upotreba opreme: U školama, javnim ustanovama i manjim poduzećima računala se bez problema koriste 7–10 godina. Mnogi strojevi kupljeni s Windows 8 ili ranim Windows 10 i dalje rade u učionicama i uredima.
- Ograničen budžet i kadrovi: U brojnim općinama i školama nema stalnog sistemca; Windows Update je često polu‑slučajno podešen, a firmware se „ne dira dok radi“.
- Rastuća upotreba Linuxa: U obrazovanju, znanosti i među startupima u Zagrebu i regiji ima sve više dual‑boot i Linux‑only instalacija. Kod njih svaka promjena Secure Boot infrastrukture može razotkriti improvizacije u konfiguraciji.
S regulatorne strane, Bruxelles će ovo vjerojatno smatrati pozitivnim korakom prema sigurnijim uređajima. No ako posljedica bude val prijevremeno „otpisanih“ PC‑jeva u javnom sektoru jugoistočne Europe, rasprave o planiranom zastarijevanju, pravu na popravak i elektroničkom otpadu dobit će dodatno gorivo.
Pogled unaprijed
Sljedeće dvije godine bit će tihi stres‑test za IT odjele diljem Europe, uključujući Hrvatsku.
U dobro upravljanim okruženjima – s ažurnim Windowsom, uključenim Secure Bootom i centraliziranim patch‑managementom – novi će se ključevi u pravilu uvesti bez drame. Problemi će isplivati na rubovima:
- Stare flote računala u školama i javnoj upravi, gdje nitko sa sigurnošću ne zna koje se BIOS verzije vrte na kojim strojevima.
- Specijalizirani sustavi u zdravstvu, industriji i laboratorijima, koji su često izvan standardnog procesa ažuriranja i vezani uz starije OEM imageve.
- Kućna računala entuzijasta, na kojima je Secure Boot davno isključen zbog igara, starog hardvera ili Linuxa, a sada će možda biti uvjet za novi Windows.
Što je pametno učiniti već sada?
- Popisati i provjeriti: za računala koja planirate zadržati provjeriti je li Secure Boot uključen, postoje li noviji BIOS/UEFI izdanja i jesu li instalirana.
- Pregledati politike ažuriranja: u organizacijama osigurati da WSUS, Intune ili druge platforme ne blokiraju upravo one zakrpe koje donose nova potvrdila.
- Planirati postupno povlačenje rizičnih strojeva: za PC‑je bez mogućnosti ažuriranja lanca povjerenja odlučiti hoće li biti izolirani, prebačeni na neosjetljive zadatke ili zamijenjeni.
Ključno otvoreno pitanje jest razmjer problema: hoće li riječ biti o nekoliko postotaka flote ili o velikom broju „slijepih pjega“ – računala koja nastavljaju raditi, ali više ne mogu pratiti razvoj sigurnosti?
Zaključak
Istjecanje Secure Boot potvrdila nije spektakularni krah, nego test zrelosti PC ekosustava – i u Hrvatskoj i šire. Sigurnosno gledano, zamjena više od deset godina stare kriptografske osnove je nužna i ispravna. No istodobno otkriva koliko malo razmišljamo o firmwareu i koliko snažno životni vijek računala zapravo ovisi o tihim odlukama proizvođača i našim navikama ažuriranja. Pravo pitanje za sljedeće godine glasi: hoćemo li ovaj „alarm“ iskoristiti da računala traju dulje, ali sigurno – ili ćemo prihvatiti da ih nevidljivi rokovi trajanja guraju prema preranoj zamjeni?
