Certificados de arranque Windows: ¿Han sido actualizadas las ISOs?

¿Han sido actualizadas las ISOs de Windows 10 con los nuevos certificados de seguridad de arranque? La respuesta corta y sorprendente es que no. Las ISOs de la versión 22H2 de Windows 10 no fueron republicadas para incluir los componentes de arranque firmados con los certificados UEFI 2023.

En su lugar, Microsoft optó por distribuir esta transición a través de Windows Update. Esto genera una situación curiosa en el proceso de instalación:

Cómo Microsoft maneja la transición

• Instalas Windows 10 desde una ISO «vieja» (aunque la descargues hoy).
• El sistema inicia usando el Boot Manager firmado con los certificados de 2011.
• Una vez instalado, es Windows Update el encargado de instalar los nuevos certificados y, posteriormente, el nuevo Boot Manager firmado por la CA 2023.

Por este motivo, herramientas como Rufus pueden advertir que el cargador de arranque de una ISO utiliza firmas antiguas o revocadas, incluso si proviene directamente de Microsoft.

¿Qué pasa con las versiones sin soporte?

Hay un detalle crucial: Si tu instalación de Windows 10 ya no recibe actualizaciones (porque terminó el soporte y no estás en ESU), no recibirá automáticamente estos nuevos certificados de Secure Boot. Sin embargo, si aún está en un canal con soporte activo o instalas Windows 11, Microsoft distribuye la actualización gradualmente.

Cómo crear una instalación «a prueba de futuro»

Si tu interés es evitar estas limitaciones y crear un medio de instalación que ya nazca con el nuevo Boot Manager, existen formas de actualizar manualmente los archivos bootmgfw.efi, bootx64.efi y el contenido del boot.wim. Este es un proceso comúnmente utilizado en entornos corporativos para desplegar imágenes que nacen con la firma moderna.