Microsoft Secure Boot yang selama ini dianggap sebagai lapisan keamanan penting di Windows ternyata punya celah yang sudah ada hampir sepuluh tahun. Celah itu muncul karena beberapa shim atau perantara boot yang sudah usang dan tidak pernah dicabut sertifikatnya.
Shim ini pada dasarnya adalah file kecil yang membantu sistem operasi lama tetap bisa berjalan di mode Secure Boot. Karena Microsoft tidak merevoke shim-shim tersebut, siapa pun yang tahu caranya bisa memanfaatkan shim usang untuk melewati pemeriksaan tanda tangan digital.
Bagi pengguna biasa, situasi ini mungkin terdengar teknis dan jauh dari keseharian. Padahal proses boot adalah titik paling rawan di komputer. Kalau malware berhasil masuk di tahap ini, ia bisa bersembunyi di bawah sistem operasi dan sulit terdeteksi antivirus biasa.
Latar belakangnya, Secure Boot diperkenalkan bersama UEFI untuk mencegah bootkit dan rootkit yang dulu sering menyerang Windows. Tujuannya mulia, yaitu memastikan hanya kode yang ditandatangani resmi yang boleh dijalankan saat komputer dinyalakan. Namun dalam praktiknya, kompatibilitas dengan ribuan perangkat lama membuat kebijakan revocasi menjadi longgar.
Salah satu analisis yang perlu diperhatikan adalah dampaknya terhadap perangkat enterprise yang masih menjalankan Windows versi lama. Banyak perusahaan tidak langsung mengganti hardware karena biaya, sehingga mereka tetap bergantung pada shim yang sekarang sudah diketahui rentan. Ini berarti risiko infeksi bootkit bisa meningkat tanpa perlu eksploitasi zero-day yang rumit.
Analisis kedua berkaitan dengan kebiasaan pengguna yang suka mengaktifkan opsi custom boot atau menonaktifkan Secure Boot demi menginstal distro Linux tertentu. Ketika shim lama masih aktif, bahkan pengguna yang sudah mengaktifkan Secure Boot pun bisa terkena bypass tanpa sadar. Situasi ini menunjukkan bahwa keamanan tidak hanya bergantung pada fitur yang dihidupkan, tapi juga pada bagaimana vendor mengelola daftar revocasi secara berkala.
Meski begitu, tidak semua sistem langsung dalam bahaya besar. Komputer yang sudah menjalankan Windows 11 dengan pembaruan terkini cenderung lebih aman karena shim baru sudah menggunakan sertifikat yang lebih ketat. Masalah utama justru ada pada perangkat yang jarang di-update atau yang masih memakai konfigurasi boot campuran.
Ke depan, pengguna disarankan memeriksa status Secure Boot di BIOS dan memastikan Windows selalu mendapat update. Bagi yang sering bermain dengan dual boot, memahami risiko shim lama bisa membantu memilih metode instalasi yang lebih aman tanpa mengorbankan perlindungan boot.
