विंडोज सिक्योर बूट: क्यों इसे आसानी से बायपास किया जा सकता है - और आपको क्या पता होना चाहिए

प्रकाशित: 12 अप्रैल, 2026, 2:00 PM EDT

ब्रैडी MakeUseOf के लिए एक प्रौद्योगिकी पत्रकार हैं जिनके पास मोबाइल, कंप्यूटिंग, और सामान्य तकनीक को कवर करने का वर्षों का अनुभव है। उनका फोकस एंड्रॉइड फोन और ऑडियो गियर पर है, और उनके पास सेंट जॉन्स यूनिवर्सिटी से पत्रकारिता में B.S. है।

ब्रैडी ने Android Central, Android Authority, XDA, Android Police, iMore, और अन्य जैसे प्रकाशनों के लिए लिखा है। उन्हें Google, Apple, और Samsung द्वारा आयोजित प्रमुख कार्यक्रमों के साथ-साथ लेनोवो इनोवेशन वर्ल्ड और IFA जैसे ट्रेड शो पर रिपोर्टिंग का अनुभव है।

जब वह नवीनतम गैजेट्स के बारे में लिख और परीक्षण नहीं कर रहे होते, तो आप ब्रैडी को बिग ईस्ट बास्केटबॉल देखते हुए और दौड़ते हुए पाएंगे।

माइक्रोसॉफ्ट आपके विंडोज पीसी को मैलवेयर, हमलों, और सुरक्षा कमजोरियों से बचाने के लिए सिक्योर बूट का उपयोग करता है, इससे पहले कि आपका ऑपरेटिंग सिस्टम पूरी तरह से लोड हो। डिफ़ॉल्ट रूप से, विंडोज पीसी पर सिक्योर बूट सक्षम होता है यह सत्यापित करने के लिए कि यूनिफाइड एक्सटेंसिबल फर्मवेयर इंटरफेस (UEFI) में चलने वाला कोई भी सॉफ्टवेयर विश्वसनीय और सुरक्षित है। सरल शब्दों में, UEFI वह बुनियादी फर्मवेयर है जो आपके पीसी के हार्डवेयर को आरंभ करने और आपके ऑपरेटिंग सिस्टम को बूट करने के लिए लॉन्च होता है। अंतर्निहित विंडोज सुरक्षा सुरक्षा तब तक सक्रिय नहीं होती जब तक ऑपरेटिंग सिस्टम पूरी तरह से बूट नहीं हो जाता, और इसीलिए सिक्योर बूट को उससे पहले UEFI को लॉक डाउन करने का काम सौंपा जाता है।

एक दशक से अधिक समय तक, सिक्योर बूट ने ठीक यही किया। सुरक्षा उपकरण को सार्वजनिक रूप से कभी बायपास नहीं किया गया था जब तक कि देर 2022 तक - उससे पहले, केवल शोधकर्ता ही सिक्योर बूट को बायपास करने के तरीकों की पहचान करने में कामयाब रहे। सब कुछ BlackLotus एक्सप्लॉइट के साथ बदल गया, जिसमें अक्टूबर 2022 में बिक्री के लिए एक सिक्योर बूट बायपास के साथ एक UEFI बूटकिट शामिल था। एक्सप्लॉइट अपेक्षा से अधिक कठिन साबित हुआ। "क्रैकिंग" सिक्योर बूट के बजाय, BlackLotus जैसे बायपास तरीके पुराने और विश्वसनीय बूटलोडर संस्करणों का उपयोग करते हैं जिनमें ज्ञात कमजोरियां हैं। चूंकि ये सिक्योर बूट द्वारा विश्वसनीय आधिकारिक बूटलोडर हैं, इसलिए सुरक्षा सॉफ्टवेयर उन्हें खतरे के रूप में नहीं पहचानता।

इस तरह की कमजोरियों के लिए सुरक्षा पैच डिफ़ॉल्ट रूप से विंडोज पीसी पर नहीं भेजे जाते। उन्हें एडमिनिस्ट्रेटर के रूप में पावरशेल कमांड चलाने की आवश्यकता होती है, और गंभीर परिचालन जोखिम के साथ आते हैं। दोनों कारक उपयोगकर्ताओं और उद्यमों दोनों को मैन्युअल रूप से फिक्स लागू करने में विफल होने की ओर ले जाते हैं, जिससे लाखों विंडोज पीसी सिक्योर बूट के साथ बायपास होने के जोखिम में छोड़ दिए जाते हैं।

सिक्योर बूट अब अटूट नहीं है

सिक्योर बूट को कई मौकों पर बायपास किया गया है

यह सोचना आसान है कि सिक्योर बूट को बायपास करना असंभव है, क्योंकि एक दशक तक, यह था। अभी भी, बुरे अभिनेता सिक्योर बूट को "तोड़कर" विफल नहीं करते, प्रति से। इसके बजाय, वे बूटलोडर के उन संस्करणों को ढूंढते हैं जो वैध और हस्ताक्षरित हैं, लेकिन महत्वपूर्ण सुरक्षा कमजोरियों को समाहित करते हैं। ये डाउनग्रेड अटैक विंडोज बूट मैनेजर को उस भेद्यता के साथ एक पुराने संस्करण पर वापस लाते हैं जिसे एक हमलावर शोषण करना चाहता है। चूंकि सिक्योर बूट सिस्टम विंडोज बूट मैनेजर के पुराने, लेकिन कमजोर, संस्करण को आधिकारिक माइक्रोसॉफ्ट सॉफ्टवेयर के रूप में पहचानता है, यह इसे लोड करने की अनुमति देता है।

वहां से, सिक्योर बूट को बायपास कर दिया जाता है, और हमलावर अनसाइन्ड ड्राइवर या मैलवेयर चला सकते हैं। इसी तरह BlackLotus, सबसे प्रसिद्ध सिक्योर बूट बायपास, लाखों विंडोज 10 और विंडोज 11 पीसी को धमकी देने में कामयाब रहा। इसने "बैटन ड्रॉप" के रूप में जानी जाने वाली एक सुरक्षा भेद्यता का उपयोग किया, जिसे CVE-2022-21894 के रूप में ट्रैक किया गया, "सॉफ्टवेयर बूट के सबसे प्रारंभिक चरण से एक एंडपॉइंट का नियंत्रण लेने के लिए," अमेरिकी राष्ट्रीय सुरक्षा एजेंसी के अनुसार।

यहां NSA 2023 के एक दस्तावेज में सिक्योर बूट बायपास का वर्णन करता है, जो आज भी संभव है:

लिनक्स बूट सुरक्षा श्रृंखला को तोड़ने के बजाय, BlackLotus पुराने बूटलोडर्स में एक दोष का शोषण करके विंडोज बूट को लक्षित करता है - जिन्हें बूट मैनेजर भी कहा जाता है - दुर्भावनापूर्ण कार्यों की एक श्रृंखला को बंद करने के लिए जो एंडपॉइंट सुरक्षा से समझौता करते हैं। बैटन ड्रॉप (CVE-2022-21894) के शोषण से BlackLotus को सिक्योर बूट पॉलिसी को हटाने और इसके प्रवर्तन को रोकने की अनुमति मिलती है। बूट होल के विपरीत, कमजोर बूटलोडर्स को सिक्योर बूट DBX रिवोकेशन सूची में नहीं जोड़ा गया है। क्योंकि कमजोर बूटलोडर्स DBX के भीतर सूचीबद्ध नहीं हैं, हमलावर पूरी तरह से पैच किए गए बूटलोडर्स को कमजोर संस्करणों के साथ स्थानापन्न कर सकते हैं ताकि BlackLotus को निष्पादित किया जा सके।

तकनीकी शब्दजाल के अलावा, जानने वाली महत्वपूर्ण बात यह है कि कमजोर बूटलोडर्स नहीं सिक्योर बूट DBX रिवोकेशन सूची में जोड़े गए हैं। दूसरे शब्दों में, इस महत्वपूर्ण सुरक्षा दोष वाले पुराने बूटलोडर्स को अपडेट के बाद भी आज भी सिक्योर बूट द्वारा विश्वसनीय माना जाता है। सिक्योर बूट DBX रिवोकेशन सूची में ब्लॉक किया गया कोड और सर्टिफिकेट होते हैं जो एक बार हस्ताक्षरित थे, लेकिन अब ज्ञात हैं कि वे कमजोर हैं।

यह अनट्रस्टेड UEFI मॉड्यूल को लोड होने से रोकने के लिए माना जाता है। हालांकि, चूंकि बैटन ड्रॉप एक्सप्लॉइट में उपयोग किए गए मॉड्यूल या सर्टिफिकेट जैसे इस सूची में नहीं हैं, वे अभी भी चल सकते हैं - और सिक्योर बूट को अभी भी बायपास किया जा सकता है।

यह माइक्रोसॉफ्ट के लिए एक असंभव विकल्प है

समझौता किए गए सिक्योर बूट कुंजियों को रद्द करने से विंडोज पीसी ब्रिक हो सकते हैं

अब तक, आप शायद सोच रहे हैं कि माइक्रोसॉफ्ट ने इन खामियों वाले बूटलोडर्स को सिक्योर बूट DBX रिवोकेशन सूची में क्यों नहीं जोड़ा। माइक्रोसॉफ्ट की प्रतिक्रिया सिक्योर बूट बायपास तरीकों के लिए काफी धीमी थी, और Baton Drop और BlackLotus जैसे एक्सप्लॉइट के लिए एक स्वचालित पैच अभी भी उपलब्ध नहीं है। BlackLotus के अक्टूबर 2022 में बाजार में आने के बाद, एक आधिकारिक सुरक्षा अपडेट मई 2023 तक विंडोज उपयोगकर्ताओं तक नहीं पहुंचा। यह पूरी कहानी नहीं बताता - जैसा कि माइक्रोसॉफ्ट 2023 के एक सुरक्षा अपडेट गाइड में बताता है, अपडेटेड विंडोज बूट मैनेजर डिफ़ॉल्ट रूप से सक्षम नहीं है, और इसे सक्रिय करने के लिए मैन्युअल चरणों की आवश्यकता होती है।

वे चरण 2026 में भी विशेष रूप से आसान या उपयोगकर्ता के अनुकूल नहीं हैं। बाद के सुरक्षा अपडेट, जैसे जुलाई 2025 में विंडोज बूट मैनेजर के लिए जारी एक, अभी भी CVE-2022-21894 के लिए फिक्स को स्वचालित रूप से सक्षम नहीं करते हैं। जैसा कि एक माइक्रोसॉफ्ट सपोर्ट दस्तावेज़ रूपरेखा करता है, इस प्रक्रिया में विंडोज रजिस्ट्री संपादित करना, एडमिनिस्ट्रेटर के रूप में पावरशेल कमांड चलाना, प्रभावित सर्टिफिकेट को सिक्योर बूट UEFI फॉरबिडन लिस्ट (DBX) में मैन्युअल रूप से जोड़ना, और फर्मवेयर पर सिक्योर वर्जन नंबर (SVN) लागू करना शामिल है।

औसत विंडोज उपयोगकर्ता वह नहीं कर रहा है - वे शायद यह भी नहीं जानते कि विंडोज रजिस्ट्री क्या है या एडमिनिस्ट्रेटर के रूप में पावरशेल कमांड कैसे चलाना है। और इसीलिए सिक्योर बूट 2026 में भी, BlackLotus एक्सप्लॉइट के ज्ञात होने के वर्षों बाद, आसानी से बायपास किया जा सकता है, बशर्ते आवश्यक शर्तें पूरी हों। तो, माइक्रोसॉफ्ट सिक्योर बूट को स्वचालित अपडेट के साथ मजबूत क्यों नहीं कर रहा है?

माइक्रोसॉफ्ट आकस्मिक उपयोगकर्ता को यह नहीं बता रहा है कि सिक्योर बूट सिस्टम को स्वचालित अपडेट के साथ सुरक्षित करने से अज्ञात संख्या में पीसी ब्रिक हो सकते हैं और अनगिनत एक्सेसरीज के साथ संगतता टूट सकती है। कुछ डिवाइस विंडोज बूट मैनेजर को सफलतापूर्वक लागू नहीं कर सकते या अनुपयोगी बन सकते हैं। इसके अतिरिक्त, रिकवरी मीडिया या सिस्टम बैकअप जो CD/DVD, PXE बूट, या USB ड्राइव के रूप में संग्रहीत हैं, पैच इंस्टॉल करने के बाद एक अलग रिकवरी मीडिया अपडेट के बिना काम नहीं करेंगे।

यदि एक्सप्लॉइट को पैच करना, जो अधिकांश उपयोगकर्ताओं को प्रभावित नहीं करेगा, कंप्यूटर को ब्रिक करने और रिकवरी मीडिया या बैकअप के साथ संगतता तोड़ने की क्षमता रखता है, तो क्या इसे पैच करना उचित है? माइक्रोसॉफ्ट ने उस निर्णय को विंडोज उपयोगकर्ताओं के हाथों में छोड़ने का फैसला किया, और इसीलिए यह एक मैन्युअल प्रक्रिया है। फिर से, यह भी कारण है कि सिक्योर बूट अपेक्षाकृत आसानी से बायपास किया जा सकता है, यह मानते हुए कि आवश्यक शर्तें पूरी होती हैं।

अपने डेटा की सुरक्षा के लिए आप क्या कर सकते हैं

नियमित रूप से अपने BIOS को अपडेट करें और एक बिटलॉकर प्री-बूट PIN सेट करें

ये सिक्योर बूट कमजोरियां शोषण के लिए एक विंडोज पीसी तक भौतिक या प्रशासनिक पहुंच की आवश्यकता होती है, जिससे वास्तविक दुनिया में उपयोग दुर्लभ होता है। दूसरी तरफ, आपके पीसी तक भौतिक पहुंच वाला कोई व्यक्ति बूटलोडर संस्करण को सिक्योर बूट खामियों के प्रति संवेदनशील एक पर वापस रोल कर सकता है, और फिर एक्सप्लॉइट चला सकता है। मैन्युअल रूप से जोखिम भरे विंडोज बूट मैनेजर अपडेट को लागू करने के अलावा, कुछ कदम हैं जो हर कोई अपने सिस्टम को सुरक्षित करने और अपने डेटा की रक्षा करने के लिए उठा सकता है।

एक के लिए, अपने हार्डवेयर को सही हाथों में रखें, और अपने पीसी में कुछ भी प्लग न करें जिस पर आप भरोसा नहीं करते। वही आधार आपके ऑपरेटिंग सिस्टम के भीतर लागू होता है। आपको किसी भी चीज या किसी को भी सिस्टम एडमिनिस्ट्रेटर एक्सेस नहीं देना चाहिए जिसे इसकी आवश्यकता नहीं है। निवारक उपाय करने के लिए, अपने डेटा को लॉक डाउन रखने के लिए एक PIN के साथ बिटलॉकर सक्षम करें, भले ही सिक्योर बूट बायपास हो जाए। इसके अतिरिक्त, आप अपने डिवाइस को एक सिक्योर्ड-कोर पीसी के रूप में सेट कर सकते हैं ताकि बूटलोडर से समझौता होने की स्थिति में विंडोज कर्नेल को सुरक्षित किया जा सके, लेकिन इसके लिए सही घटकों की आवश्यकता होती है, जैसे TPM 2.0 चिप और एक समर्थित CPU।

संक्षेप में, सिक्योर बूट को बायपास करना आसान है क्योंकि हमलावर इसे क्रैक नहीं कर रहे हैं - वे सुरक्षा कमजोरियों वाले आधिकारिक, विश्वसनीय बूटलोडर सर्टिफिकेट का उपयोग कर रहे हैं जिनका शोषण किया जा सकता है। चूंकि उन सर्टिफिकेट को रद्द करना एक जोखिम भरा प्रक्रिया है, वे अभी भी विश्वसनीय हैं, और सिक्योर बूट को अभी भी बायपास किया जा सकता है।