Expiração do certificado do Secure Boot do Windows e atualizações de certificados

Resposta 1: Por favor, siga os passos abaixo:

1. Na barra de pesquisa do Windows, digite Segurança do Windows. 
   
2. Selecione [Segurança do dispositivo] no menu à esquerda. Em [Secure boot], você verá um indicador de status. O ícone de Secure boot é marcado com um selo verde, amarelo ou vermelho, cada um representando o estado atual do Secure boot no seu sistema. 
   

Resposta 2: Por favor, siga os passos abaixo:

1. Execute o Windows Update e certifique-se de que a versão do sistema operacional é 26100.6725 ou posterior. 
   Histórico de atualizações do Windows 11, versão 25H2 - Suporte da Microsoft
2. Na barra de pesquisa do Windows, digite Windows PowerShell. 
   Nos resultados da busca, clique com o botão direito em Windows PowerShell e selecione Executar como administrador. 
   
3. Digite o seguinte comando: 
   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f 
   
4. Em seguida, digite o seguinte comando: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
5. Reinicie seu computador.
6. Após reiniciar, abra o Windows PowerShell novamente como administrador.
7. Digite novamente o seguinte comando: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
8. Reinicie seu computador mais uma vez.
9. Verifique se o ícone do Secure Boot mudou para verde, indicando que o Secure Boot agora está ativado e funcionando corretamente.

Resposta 3: Após o certificado de Secure Boot expirar, dispositivos que ainda não receberam o novo certificado de 2023 ainda podem iniciar e operar normalmente, e as atualizações padrão do Windows continuarão sendo instaladas. No entanto, esses dispositivos não poderão obter novas proteções de segurança durante o processo inicial de boot, incluindo a atualização dos administradores de boot do Windows, bancos de dados de Secure Boot, listas de revogação ou medidas de mitigação para vulnerabilidades recentemente descobertas no nível de boot.

Com o tempo, isso limita a proteção do dispositivo contra ameaças emergentes e pode afetar cenários que dependem da confiança no Secure Boot, como o reforço do BitLocker ou boot loaders de terceiros. A maioria dos dispositivos Windows receberá automaticamente as credenciais atualizadas, e muitos fabricantes OEM também fornecerão atualizações de firmware quando necessário. Manter o dispositivo sempre atualizado ajuda a garantir que ele continue recebendo toda a proteção de segurança projetada para uma inicialização segura.

Resposta 4: Dispositivos que desativam o secure boot não receberão novas credenciais de secure boot no firmware. Portanto, eles continuarão vulneráveis a malwares na camada de boot (como bootkits), pois a proteção do secure boot não será aplicada.

Resposta 5: Se o Windows já utilizou o gerenciador de boot assinado de 2023, mas o firmware foi redefinido para o valor padrão que não inclui o certificado Windows UEFI CA 2023, o secure boot irá bloquear o processo de boot.

Você pode consultar a FAQ:

[Notebook] Solução de Problemas - Erro de Violação do Secure Boot na Inicialização

Resposta 6: Sim. Mesmo que as credenciais existentes tenham expirado, atualizações cumulativas contendo novas credenciais de secure boot ainda podem ser aplicadas. Se o dispositivo pode iniciar o Windows e instalar atualizações, as credenciais atualizadas podem ser gravadas no firmware de acordo com as diretrizes de implantação publicadas. A maioria dos dispositivos receberá essas atualizações automaticamente, mas alguns sistemas podem exigir atualizações de firmware adicionais.

Resposta 7: Por favor, siga os passos abaixo:

1. Digite PowerShell na caixa de pesquisa do sistema Windows. 
   Nos resultados da pesquisa, clique no ícone do Windows PowerShell e selecione Executar como Administrador. 
   
2. Confirme se Key Exchange Key (KEK) inclui "Microsoft Corporation KEK 2K CA 2023" 
   Digite [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   Se aparecer Verdadeiro, significa que inclui "Microsoft Corporation KEK 2K CA 2023" 
   
3. Confirme se Signature Databases (DB) inclui "Windows UEFI CA 2023" 
   Digite [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   Se aparecer Verdadeiro, significa que inclui "Windows UEFI CA 2023" 
   
4. Confirme se Signature Databases (DB) inclui "Microsoft UEFI CA 2023" 
   Digite [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   Se aparecer Verdadeiro, significa que inclui "Microsoft UEFI CA 2023" 
   

Resposta 8: O motivo desta mensagem de erro é que as credenciais de boot seguro foram atualizadas, mas ainda não foram aplicadas ao firmware do dispositivo.

Por favor, execute o Windows Update primeiro para garantir que a compilação do sistema operacional seja 26100.6725 ou posterior, e depois siga os passos descritos na Pergunta 2.

Histórico de atualização do Windows 11, versão 25H2.

Resposta 9: O motivo desta mensagem de erro é que a atualização de boot está sendo deliberadamente bloqueada porque o dispositivo está em conformidade com condições conhecidas de firmware ou hardware, o que impede que a atualização seja concluída com segurança.

Por favor, relate o problema através do centro de serviço ASUS.

Resposta 10: O motivo para esta mensagem de erro é que o dispositivo não consegue encontrar a Chave de Troca de Chaves (KEK) assinada por PK.

Por favor, relate o problema através do centro de serviço da ASUS.