Windows 与 Linux 安全启动密钥临近过期，基础安全机制暴露维护成本
Windows 与 Linux 的安全启动密钥临近过期，把一项平时几乎不可见的基础安全机制推到用户面前。Wired 提醒称，保护电脑启动流程的加密密钥将从 6 月 24 日起进入过期节点，设备能否顺利更新取决于厂商、系统和固件之间的配合。
安全启动的作用是在电脑开机时验证引导程序，阻止恶意代码在操作系统加载前取得控制权。它依赖一组被硬件和固件信任的密钥。问题在于，任何密钥都有生命周期，更新不及时会让旧设备、双系统和定制启动环境遇到启动失败或保护失效。
这类风险对普通用户很陌生，因为它不表现为应用崩溃或网页报错，而是发生在系统启动最早阶段。若更新流程设计不好，用户可能在一次固件升级或系统补丁后发现机器无法进入系统。企业设备数量更多，影响会被放大到运维和工单层面。
Linux 用户尤其需要留意。许多发行版依赖微软签名的 shim 引导组件来通过安全启动验证，服务器、开发者笔记本和双启动电脑的配置差异很大。某些设备长期未更新固件，密钥轮换可能触发兼容性问题，排查难度高于普通软件补丁。
微软和硬件厂商需要在安全与稳定之间做取舍。过快废弃旧密钥可以减少被盗签名继续滥用的风险，但会伤及大量旧设备；过慢更新则会让攻击者继续寻找启动链漏洞。安全启动的难点正是它处在操作系统、主板固件和供应链的交界处。
企业安全团队应把这次节点当成资产盘点机会。哪些设备启用了安全启动，哪些机器运行双系统，哪些固件多年未升级，哪些终端由远程员工自主管理，这些问题平时容易被忽略。密钥轮换会逼迫组织重新确认终端可信边界。
对消费者来说，最稳妥的做法不是手动修改固件设置，而是保持系统和厂商工具更新，等待明确补丁。随意关闭安全启动可能暂时绕过兼容性问题，却会让开机链条失去一层保护，给持久化恶意软件留下空间。
这次过期提醒说明，安全机制不是一次部署就能长期运行的背景功能。加密密钥、证书、固件和供应商责任都会到期。电脑能安全开机，本质上依赖一套持续维护的信任链，而这套链条的维护成本正在被更多用户看见。
这件事也提醒设备厂商，安全承诺必须覆盖整个生命周期。电脑卖出多年后，固件更新和证书轮换仍然需要渠道触达用户。若厂商只在新品发布时强调安全，却不维护旧设备的启动信任链，安全启动就会变成写在参数表里的静态卖点。