- Las claves de seguridad emitidas en 2011 caducan en junio de 2026, obligando a una transición hacia nuevos certificados de 2023.
- El proceso es automático para la mayoría de usuarios a través de Windows Update, aunque los equipos antiguos podrían requerir actualizaciones manuales de la BIOS.
- No actualizar no impedirá que el ordenador arranque, pero lo dejará vulnerable ante amenazas críticas como LogoFail o BlackLotus.
- Los sistemas Linux también se ven afectados, ya que dependen de los certificados de Microsoft para validar sus cargadores de arranque.
Muchos usuarios de PC se enfrentan estos días a una fecha marcada en rojo en el calendario de la ciberseguridad. Tras quince años de servicio ininterrumpido, los certificados digitales que garantizan que nuestros ordenadores arranquen de forma protegida están llegando a su fin. No se trata de un fallo del sistema ni de un error de programación, sino simplemente de la caducidad natural de las firmas criptográficas que Microsoft integró en las placas base allá por el año 2011 para dar vida al conocido Secure Boot.
A pesar de que pueda sonar a un posible apocalipsis informático, lo cierto es que tu ordenador no va a dejar de funcionar de repente ni se va a quedar la pantalla en negro. La cuestión es mucho más sutil pero igual de importante: si el sistema no renueva estas credenciales, la cadena de confianza se rompe. Esto significa que el equipo seguirá encendiendo, pero perderá la capacidad de bloquear software malicioso avanzado que intenta colarse antes incluso de que el propio Windows o Linux terminen de cargar, dejándonos en una situación de seguridad bastante precaria.
¿Qué es exactamente el Secure Boot y por qué se actualiza ahora?
Para entender este jaleo, hay que recordar que el Arranque Seguro o Secure Boot es un estándar de la industria que utiliza firmas digitales para verificar que cada pieza de software que se inicia es de confianza. Microsoft, en colaboración con los fabricantes de hardware, diseñó este sistema para frenar los temidos bootkits UEFI, un tipo de malware que ataca directamente el firmware de la placa base. Al ser lo primero que se ejecuta, este código malicioso es capaz de saltarse los antivirus convencionales y permanecer oculto incluso si decidimos formatear el disco duro por completo.
La razón por la que estamos hablando de esto ahora es que el certificado original, denominado Microsoft Corporation KEK CA 2011, tiene su fecha de caducidad fijada para junio de 2026. Para evitar que la protección se degrade, Microsoft ya ha empezado a desplegar los nuevos certificados emitidos en 2023 a través de las actualizaciones mensuales. La idea es que la transición sea lo más fluida posible para el usuario medio, sustituyendo los antiguos eslabones de la cadena de seguridad por otros mucho más modernos y resistentes a las técnicas de hackeo actuales.
Los peligros de quedarse atrás: LogoFail y BlackLotus
No se trata de una actualización por capricho; hay amenazas reales ahí fuera que han puesto en jaque la arquitectura actual. Una de las más sonadas ha sido LogoFail, un conjunto de vulnerabilidades que permitía a los atacantes infectar el arranque del sistema simplemente manipulando la imagen del logotipo que aparece al encender el ordenador. Al actualizar las claves de seguridad, los desarrolladores pueden revocar el acceso a versiones de software que se sabe que son vulnerables, impidiendo que los atacantes utilicen fallos antiguos para saltarse las defensas del equipo.
Otro invitado no deseado en esta fiesta es BlackLotus, un bootkit capaz de desactivar las protecciones de Windows 11 sin que te des ni cuenta. Si un dispositivo no realiza la migración a las nuevas claves de 2023, perderá la capacidad de procesar listas de revocación y parches críticos a nivel de firmware. En términos coloquiales, es como tener una puerta blindada pero no poder cambiar la cerradura cuando te enteras de que alguien ha conseguido una copia de la llave maestra; el hardware simplemente deja de estar preparado para defenderse.
Cómo comprobar si tu ordenador está bien protegido
Para que no te comas mucho la cabeza, Microsoft ha facilitado las cosas añadiendo indicadores visuales en el sistema. Si quieres echar un vistazo, solo tienes que ir a la configuración de Seguridad de Windows y buscar el apartado de Seguridad del dispositivo. Allí, dentro de la sección de Arranque seguro, deberías ver una marca de verificación de color verde. Esto indica que todo está en orden y que tu equipo ya ha recibido las actualizaciones de certificados necesarias, por lo que puedes respirar tranquilo y seguir con tus cosas sin mayor preocupación.
Sin embargo, si te encuentras con un aviso de color amarillo o rojo, es momento de prestar atención. En los ordenadores más modernos, vendidos a partir de 2024, estas claves suelen venir instaladas de fábrica, pero en equipos antiguos o configuraciones personalizadas la cosa cambia. Puede que necesites entrar en la web del fabricante de tu placa base para descargar una actualización de la BIOS, ya que algunos firmwares antiguos no saben cómo gestionar los nuevos tamaños de las claves criptográficas de 2023, que son un poco más complejas que las anteriores.
Es importante recalcar que este proceso no afecta solo a los usuarios de Windows, ya que el ecosistema Linux también depende en gran medida de estas firmas. Muchas distribuciones utilizan un pequeño componente llamado ‘shim’ que está firmado por Microsoft para permitir que el sistema arranque con el Secure Boot activo. Por lo tanto, independientemente del sistema operativo que utilices, mantener el firmware y los paquetes del sistema al día es la mejor forma de asegurar que la base sobre la que se asienta toda tu seguridad digital no se vuelva obsoleta de la noche de la mañana.