ماذا حدث؟
كشف تقرير من Windows Latest تفاصيل جلسة "ساعات عمل" عقدتها مايكروسوفت مع مصنّعين كبار مثل Dell وHP وLenovo وAsus وغيرهم، هدفها الإجابة عن أسئلة فرق تقنية المعلومات حول نشر شهادات Secure Boot الجديدة لعام ٢٠٢٣ على أجهزة ويندوز 11. رغم أن الجلسة قدّمت حلولاً تقنية عديدة، بقيت مجموعة مشاكل بلا حل واضح: أجهزة HP تدخل في حلقات استرداد BitLocker متكررة حتى بعد تثبيت أحدث BIOS، وبعض أساطير Dell مثل Optiplex 5000 ترفض تحديث مفاتيح KEK أو تطبيق إعدادات الريجيستري كما ينبغي، وأجهزة أخرى تظهر حالة "Secure Boot Status = Unknown" رغم استيفائها كل الشروط التقنية. مايكروسوفت أكدت أن جزءاً من المشكلة يعود إلى اختلافات عميقة في تنفيذ UEFI والـFirmware بين المصنعين، وأنها اضطرت إلى إيقاف نشر تحديثات الشهادات على مجموعات معينة من الأجهزة والـBIOS بشكل متعمد عندما تبين أن التحديث يسبب مشاكل خطيرة. بعض الإداريين في الجلسة وصفوا كيف اضطروا إلى الرجوع إلى إصدارات BIOS أقدم أو حتى تغيير لوحات أم بالكامل لمغادرة حالات عطب غريبة نتجت عن محاولة تطبيق شهادات Secure Boot الجديدة.
ماذا يعني؟
اعتراف مايكروسوفت بأن Secure Boot على ويندوز 11 يعاني من مشكلات لا يمكنها ولا يمكن للمصنّعين حلها بالكامل على بعض الأجهزة يوضح أن جزءاً من طبقة الأمان هذه يعتمد على بنية UEFI وفيرموير عمرها سنوات لم تُصمم أصلاً لسيناريوهات تحديث الشهادات المتكررة بهذا الشكل. هذا يجعل عملية بسيطة نظرياً، مثل تحديث قائمة الشهادات الموثوقة، تتحول إلى اختبار ضغط للطبقة الأدنى في النظام، تكشف عن اختلافات في كيفية تعامل الأجهزة مع المفاتيح، والـNVRAM، وسجلات القياس التي يعتمد عليها BitLocker. النتيجة أن إدارة Secure Boot في مؤسسة كبيرة لم تعد عملية "اضغط لتحديث"، بل مشروع مصغر يتطلب تجارب حذرة على أنواع أجهزة متعددة قبل تعميم أي تغيير.
لماذا يهمك؟
إذا كنت مسؤولاً عن أسطول أجهزة ويندوز 11، فالتعامل مع Secure Boot وشهاداته يجب أن يكون بخطة خاصة به، لا مجرد جزء صغير من سياسة Windows Update المعتادة. اختبر التحديثات على عينات ممثلة من كل طراز، تأكد من وجود نسخ احتياطية لمفاتيح BitLocker، ولا تفترض أن أحدث BIOS يعني دائماً أن جهازك جاهز لتحديث الشهادات دون مشاكل. في الحالات التي تكون فيها أجهزة معينة ضمن المجموعات التي علّقت مايكروسوفت التحديث عليها، قد يكون القرار الأكثر أماناً هو قبول أن هذه الأجهزة لن تصل إلى حالة مثالية من التوافق، والاعتماد على ضوابط أمان إضافية حولها بدلاً من محاولة فرض تحديث قد يكسرها بالكامل.