[Aan zakelijke pc-gebruikers] Aankondiging over de update van het Windows Secure Boot-certificaat

2.1 Niet getroffen (nieuw certificaat standaard ondersteund)

Alle zakelijke pc's die in 2024 of later zijn geleverd, evenals alle toekomstige nieuwe modellen, hebben het nieuwe Secure Boot-certificaat vooraf geïntegreerd. Een handmatige update is niet nodig.

Laptops (NB): De volgende modellen, evenals alle series die na 2024 zijn gelanceerd.

Desktops: De volgende modellen, evenals alle series die na 2024 zijn gelanceerd.

Alles-in-één (AIO): De volgende modellen, evenals alle series die na 2024 zijn gelanceerd.

2.2 Modellen die een update vereisen

Als uw model hierboven niet wordt vermeld, betekent dit dat het apparaat momenteel het oudere certificaat gebruikt en moet worden bijgewerkt.

Hoe krijg ik de update?

Voor getroffen modellen heeft ASUS het nieuwe certificaat ingediend. De update wordt automatisch geleverd door Microsoft via Windows Update.

Aanbevolen actie: Ga naar Instellingen > Windows Update en zorg ervoor dat automatische updates zijn ingeschakeld.

Automatische installatie: Het systeem downloadt en installeert automatisch het nieuwste beveiligingscertificaat—geen handmatige tools of downloads zijn vereist.

Deze sectie legt de Microsoft derde partij Secure Boot certificaten uit. Als uw apparaat niet-Windows omgevingen (bijvoorbeeld Linux) of hardware van derden (bijvoorbeeld externe GPUs) moet draaien, lees dan het volgende.

3.1 Overzicht Microsoft 3e Partij Certificaat

3.2 Als Microsoft 3rd Party Certificaten vereist zijn, raadpleeg dan de volgende instructies

Opmerking: Als je zakelijke computer Windows BitLocker heeft ingeschakeld, schakel deze dan vooraf uit volgens de onderstaande instructies voordat je Secure Boot handelingen uitvoert.

Apparaten die in 2026 zijn geleverd, bevatten deze certificaten al. U kunt het BIOS Setup (druk op F2 tijdens het opstarten) openen om opties voor certificaten van derden te verifiëren of te configureren.

Bovendien kunt u naar sectie 8.3 verwijzen om te controleren of de certificaten van derden aanwezig zijn. Als ze niet zijn opgenomen, werk dan het BIOS bij naar de nieuwste versie en volg Sectie 5. SOP 1: Secure Boot Certificaten bijwerken.

Als de vereiste certificaten van derden nog steeds niet verschijnen, ga dan verder naar Sectie 6. SOP 2: Secure Boot Certificaten toevoegen.

In het geval dat het resetten van de Secure Boot-sleutels resulteert in het verschijnen van het volgende scherm tijdens het opstarten van Windows, volg dan Sectie 7. SOP 3: Secure Boot Certificaten terugzetten.

Referenties

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Opmerkingen voorafgaand aan de uitvoering:

1. Het wordt sterk aanbevolen om vooraf een back-up te maken van alle gegevens op uw computer om mogelijk gegevensverlies tijdens het handmatige updateproces te voorkomen.
2. Indien BitLocker is ingeschakeld, zorg er dan voor dat deze is onderbroken voordat u doorgaat met de onderstaande stappen. Nadat het proces is voltooid, kan BitLocker weer worden ingeschakeld.
3. Het niet onderbreken van BitLocker kan resulteren in een vergrendelingsscenario. In gevallen waarin BitLocker de versleutelde Windows-schijf niet automatisch kan ontgrendelen, is een herstelsleutel vereist. Deze sleutel is een 48-cijferige numerieke code waarmee u weer toegang krijgt tot uw harde schijf. Mocht u niet vertrouwd zijn met de onderstaande procedures, neem dan contact met ons op voor hulp.

Als je je BitLocker-herstelcode moet ophalen, raadpleeg dan het artikel: Hoe haal je je BitLocker-herstelcode op.

Procedure Stappen

1. Zet het systeem aan of herstart het, druk vervolgens op F2 om het BIOS setup te openen.   
   Druk op F7 om naar de Geavanceerde modus te schakelen, ga dan naar Beveiliging > Secure Boot (of direct Beveiliging > Secure Boot).   
   
2. Selecteer Key Management.   
   
3. Selecteer Authorized Signatures (db).   
   
4. Kies Bijwerken.   
   
5. Selecteer Ja.   
     
   Opmerking: Het selecteren van "Ja" zal de bijbehorende certificaten terugzetten naar de fabrieksinstellingen. Eventuele certificaten die eerder door het systeem of de gebruiker zijn toegevoegd, worden verwijderd.
6. Kies Details om te verifiëren dat de Authorized Signatures (db) certificaten succesvol zijn bijgewerkt.   
   
7. Druk op F10 om op te slaan & af te sluiten.
8. Als BitLocker eerder was gepauzeerd, zorg er dan voor dat deze opnieuw is ingeschakeld.

1. Download Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, en sla het op in de hoofdmap van een USB-stick (bijvoorbeeld, “D:\windows uefi ca 2023.crt”).
2. Zet het systeem aan of herstart het, druk vervolgens op F2 om het BIOS setup te openen.   
   Druk op F7 om naar de Geavanceerde Modus te schakelen, navigeer daarna naar Beveiliging > Secure Boot (of direct Beveiliging > Secure Boot).   
   
3. Selecteer Sleutelbeheer.   
   
4. Selecteer Geautoriseerde Handtekeningen (db).   
   
5. Kies Toevoegen.   
   
6. Selecteer Nee.   
   
7. Selecteer de USB-stick.
8. Zoek en selecteer het bestand dat is opgeslagen in de hoofdmap: “windows uefi ca 2023.crt”.
9. Selecteer Public Key Certificate, druk vervolgens op Enter op het GUID-bevestigingsscherm.   
   
10. Selecteer Ja.   
    
11. Controleer of Windows UEFI CA 2023 nu wordt weergegeven onder Bevoegde Handtekeningen (db).   
    
12. Druk op F10 om op te slaan & af te sluiten.
13. Indien BitLocker is ingeschakeld, zorg ervoor dat je je BitLocker-herstelcode bij de hand hebt.

Hoe controleer je de status van UEFI Secure Boot Key? De volgende procedures hebben geen invloed op de status van Windows BitLocker.

8.1 Voorbereidende stappen

Voer PowerShell in de Windows zoekbalk in.

Klik in de zoekresultaten met de rechtermuisknop op Windows PowerShell en selecteer Uitvoeren als administrator.

8.2 Microsoft Windows Secure Boot certificaten verifiëren

1. Bevestig dat de Key Exchange Key (KEK) “Microsoft Corporation KEK 2K CA 2023” bevat.  
   Voer uit: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Een resultaat van Waar geeft aan dat het certificaat "Microsoft Corporation KEK 2K CA 2023" aanwezig is.  
   
2. Bevestig dat de Signature Databases (DB) "Windows UEFI CA 2023" bevat.  
   Voer uit: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Een resultaat van Waar geeft aan dat het certificaat "Windows UEFI CA 2023" aanwezig is.  
   

8.3 Controleren van Microsoft 3rd Party Secure Boot Certificaten

1. Bevestig dat de Signature Databases (DB) "Microsoft UEFI CA 2023" bevat.  
   Voer uit: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Een resultaat van Waar geeft aan dat het certificaat "Microsoft UEFI CA 2023" aanwezig is.  
   
2. Bevestig dat de Handtekening Databases (DB) "Microsoft Option ROM UEFI CA 2023" bevatten.  
   Uitvoeren: [Systeem.Tekst.Codering]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Een resultaat van Waar geeft aan dat het certificaat "Microsoft Option ROM UEFI CA 2023" aanwezig is.