🔐 BitLocker: Твой ноутбук украли. Данные утекли?

В 2026 году потеря корпоративного ноутбука — это не потеря железа ($1000), это потеря данных (миллионы). Если диск не зашифрован, пароль Windows сбрасывается за 2 минуты флешкой с Linux.

Убедитесь, что BitLocker включен и ключи надежно защищены TPM-чипом.

PowerShell-аудит (одной строкой):

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, EncryptionMethod, ProtectionStatus, KeyProtector

Что искать в выводе:
1. VolumeStatus: FullyEncrypted (Обязательно!)
2. ProtectionStatus: On
3. KeyProtector: Должен быть Tpm (безопасно) или TpmPin. Если там Password или пусто — это дыра.

Если статус Off — включайте немедленно. Это база безопасности эндпоинтов.

#windows #security #bitlocker #powershell #encryption #audit #tpm

#windows #patchtuesday #bitlocker #activedirectory #security #sysadmin #admin_future

🔐 Сертификат Secure Boot истёк 19 октября. Компьютеры не сломались — и в этом главная ловушка

Коллеги, пятница. Самая опасная поломка — та, которой не видно. Компьютер загружается, пользователь доволен, а защита загрузки тихо перестала получать обновления.

📌 ФАКТЫ
19 октября 2026 года истёк сертификат Microsoft Windows Production PCA 2011 — именно им более 15 лет подписывался доверенный загрузчик Windows. Официальная замена — Windows UEFI CA 2023

Необновлённый ПК загружается и работает как обычно, регулярные накопительные апдейты продолжают ставиться

Однако устройство больше не применит обновления Boot Manager, не обновит базы Secure Boot (db/dbx), списки отзыва уязвимых загрузчиков (BlackLotus и др.) и патчи цепочки ранней инициализации

Microsoft предупреждает: не отключайте Secure Boot, пытаясь обойти ошибки накатки

Для Windows 10 доставка обновлённых сертификатов предусмотрена только в рамках платной программы ESU

🛠 ПРОВЕРКА (PowerShell от имени администратора)
PowerShell

# 1. Проверяем активность Secure Boot (True = включён)
Confirm-SecureBootUEFI

# 2. Ищем новый сертификат CA 2023 в базе доверенных ключей db
[Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

# 3. Смотрим статус развёртывания в реестре Windows
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -ErrorAction SilentlyContinue

Глазами в GUI: Параметры → Безопасность Windows → Безопасность устройства → Безопасная загрузка. Целевой статус — «All required certificate updates have been applied» («Все требуемые обновления сертификатов применены»).

😅 ЖИЗНЕННОЕ
Сначала бэкап ключей BitLocker в AD/Entra, потом прошивка. Обновление микрокода или сброс TPM принудительно запросит Recovery Key. Иначе вечер пятницы гарантированно станет ночью.

Сброс настроек UEFI «в дефолт» на старых платах легко откатит переменные NVRAM к зашитым на фабрике сертификатам образца 2018–2019 года.

Вендоры первого эшелона (Dell, HP, Lenovo) не выпускают свежие версии BIOS/UEFI для линеек оборудования, снятых с вендорской поддержки до 2026 года.

💡 В ЧЁМ СУТЬ

Отсутствие BSOD не означает отсутствие проблемы. Соберите через GPO/SCCM/RMM отчёт со статусом

Windows UEFI CA 2023

по всему парку, отделите legacy-железо и поставьте прошивку BIOS в регламент обслуживания. Только не запускайте массовый rollout в пятницу перед уходом домой.

#windows #secureboot #uefi #bitlocker #юмор #sysadmin #admin_future