Trong nhiều năm qua, phần lớn người dùng Windows gần như không để ý đến tính năng Secure Boot (Khởi động an toàn). Tuy nhiên, đây lại là một trong những lớp bảo vệ quan trọng nhất giúp máy tính ngăn chặn mã độc ngay từ quá trình khởi động hệ thống. Hiện nay, do các chứng chỉ bảo mật cũ đã bắt đầu hết hạn, hàng triệu máy tính có nguy cơ mất đi lớp phòng vệ này nếu không được cập nhật.

Secure Boot là gì?

Secure Boot là tính năng bảo mật được tích hợp trong hệ thống UEFI của máy tính hiện đại, có nhiệm vụ kiểm tra và xác thực các thành phần cần thiết trước khi Windows khởi động. Chỉ những trình điều khiển (driver), bộ nạp khởi động (bootloader) và các thành phần đã được xác thực bằng chứng chỉ số hợp lệ mới được phép chạy.

Ảnh: Windows Latest

Tính năng này được Microsoft triển khai từ thời Windows 8 nhằm đối phó với bootkit - một dạng phần mềm độc hại cực kỳ nguy hiểm xuất hiện từ giữa những năm 2000.

Bootkit có khả năng chèn mã độc vào quá trình khởi động của máy tính, từ đó kiểm soát hệ điều hành trước khi Windows hoạt động. Điều này giúp mã độc dễ dàng qua mặt các chương trình diệt virus và rất khó bị phát hiện.

Secure Boot hoạt động như thế nào?

Có thể hình dung Secure Boot giống như một chốt kiểm soát an ninh tại lối vào của một tòa nhà.

Mỗi thành phần được phép khởi động đều phải xuất trình "thẻ nhận dạng" dưới dạng chữ ký số. Secure Boot sẽ đối chiếu chữ ký này với các chứng chỉ bảo mật được lưu sẵn trong phần sụn UEFI.

Nếu chữ ký hợp lệ, quá trình khởi động tiếp tục. Ngược lại, bất kỳ thành phần nào không được xác thực sẽ bị chặn ngay từ đầu, giúp ngăn mã độc xâm nhập vào hệ thống.

Vì sao người dùng cần cập nhật chứng chỉ Secure Boot?

Nhiều máy tính hiện nay vẫn sử dụng bộ chứng chỉ Secure Boot được Microsoft phát hành từ năm 2011. Theo kế hoạch, các chứng chỉ này chỉ có hiệu lực trong 15 năm và bắt đầu hết hạn trong năm 2026. Hiện tại, 3 trong 4 chứng chỉ năm 2011 đã hết hạn vào cuối tháng 6-2026, trong khi chứng chỉ còn lại sẽ hết hạn vào tháng 10-2026.

Nếu tiếp tục sử dụng các chứng chỉ cũ, Secure Boot sẽ không còn đủ khả năng xác thực những thành phần khởi động mới, làm suy giảm khả năng bảo vệ máy tính trước các cuộc tấn công nhắm vào quá trình khởi động.

Để duy trì bảo mật, Microsoft đã phát hành bộ chứng chỉ Secure Boot mới từ năm 2023, được cài đặt sẵn trên các dòng máy tính đời mới.

Làm sao để biết máy tính đã được cập nhật?

Việc máy tính vẫn khởi động bình thường không đồng nghĩa với việc Secure Boot đã được cập nhật.

Người dùng có thể kiểm tra theo các bước:

- Mở Windows Security.

- Chọn Device Security.

- Kiểm tra trạng thái Secure Boot.

Ảnh: Windows Latest

Nếu xuất hiện dấu tích màu xanh, máy tính đã sử dụng bộ chứng chỉ Secure Boot 2023 và không cần thực hiện thêm thao tác nào khác.

Nếu hiển thị cảnh báo màu vàng hoặc đỏ, người dùng cần cập nhật hệ thống hoặc phần sụn UEFI/BIOS để nhận chứng chỉ mới.

Ngoài ra, Windows cũng có thể hiển thị biểu tượng chiếc khiên màu xanh kèm dấu vàng hoặc đỏ trên thanh Taskbar để cảnh báo.

Secure Boot có thực sự cần thiết?

Một số ý kiến cho rằng các cuộc tấn công vào phần sụn UEFI hoặc quá trình khởi động thường chỉ nhắm đến các mục tiêu đặc biệt như các cơ quan chính phủ. Tuy nhiên, các chuyên gia bảo mật cho biết trước khi Secure Boot được triển khai rộng rãi, bootkit từng là mối đe dọa phổ biến đối với người dùng thông thường.

Việc tiếp tục sử dụng máy tính với chứng chỉ Secure Boot đã hết hạn giống như lái xe khi đèn cảnh báo động cơ đã bật sáng. Máy vẫn có thể hoạt động, nhưng nguy cơ xảy ra sự cố nghiêm trọng sẽ tăng lên theo thời gian.

Trong trường hợp máy tính bị nhiễm bootkit, việc phát hiện và loại bỏ loại mã độc này thường rất khó khăn. Secure Boot giúp ngăn chặn các thành phần khởi động trái phép ngay từ đầu, hạn chế nguy cơ hệ thống bị kiểm soát trước khi Windows được tải.

Cách cập nhật Secure Boot

Đối với phần lớn máy tính Windows hiện nay, Microsoft đã tự động phân phối bộ chứng chỉ Secure Boot 2023 thông qua các bản cập nhật Windows.

Nếu hệ thống vẫn hiển thị cảnh báo, người dùng nên:

- Cập nhật Windows lên phiên bản mới nhất.

- Kiểm tra và cập nhật firmware UEFI từ nhà sản xuất máy tính hoặc mainboard.

- Theo dõi các bản cập nhật hỗ trợ dành cho dòng máy tính đang sử dụng, từ trang web của nhà sản xuất máy tính hoặc mainboard.

Nếu máy tính không còn được hỗ trợ thì sao?

Trường hợp xuất hiện cảnh báo màu đỏ có thể đồng nghĩa với việc thiết bị sẽ không nhận được bộ chứng chỉ Secure Boot mới.

Một số hãng sản xuất đã chấm dứt hỗ trợ đối với các dòng máy quá cũ, đồng nghĩa với việc người dùng sẽ không nhận được bản cập nhật UEFI/BIOS cần thiết để cài đặt chứng chỉ Secure Boot 2023.

Khi đó, người dùng có 2 lựa chọn chính:

- Mua máy tính mới để tiếp tục sử dụng Windows với đầy đủ tính năng bảo mật.

- Chuyển sang sử dụng hệ điều hành nguồn mở Linux, với một số bản phân phối vẫn có thể hoạt động trên các thiết bị không còn được cập nhật Secure Boot.

LÊ PHI (Theo PCWorld)