[Commercial PC] Aviso sobre a atualização do certificado de Secure Boot do Windows

2.1 Não Afetado (Novo Certificado Suportado por Padrão)

Todos os PCs corporativos enviados em 2024 ou posteriormente, bem como todos os novos modelos futuros, já possuem o novo certificado Secure Boot pré-integrado. Não é necessária atualização manual.

Notebooks (NB): Os seguintes modelos, bem como todas as séries lançadas após 2024.

Desktops: Os seguintes modelos, assim como todas as séries lançadas após 2024.

All-in-One (AIO): Os modelos a seguir, assim como todas as séries lançadas após 2024.

2.2 Modelos que Necessitam de Atualização

Se o seu modelo não estiver listado acima, isso significa que o dispositivo está atualmente usando o certificado antigo e precisará ser atualizado.

Como obtenho a atualização?

Para os modelos afetados, a ASUS já concluiu o envio do novo certificado. A atualização será entregue automaticamente pela Microsoft por meio do Windows Update.

Ação recomendada: Vá em Configurações > Windows Update e certifique-se de que as atualizações automáticas estão ativadas.

Instalação automática: O sistema fará o download e instalará automaticamente o certificado de segurança mais recente — nenhuma ferramenta manual ou download é necessário.

Esta seção explica os certificados Microsoft third-party Secure Boot. Se o seu dispositivo precisar executar ambientes não-Windows (ex: Linux) ou hardwares de terceiros (ex: GPUs externas), revise o seguinte.

3.1 Visão geral do Certificado Microsoft 3rd Party

3.2 Se Certificados Microsoft de Terceiros Forem Necessários, Por Favor Consulte as Instruções Abaixo

Atenção: Se o seu computador comercial estiver com o Windows BitLocker ativado, por favor, suspenda-o antecipadamente seguindo as instruções abaixo antes de realizar qualquer operação de Secure Boot.

Dispositivos enviados em 2026 já incluem esses certificados. Você pode acessar a configuração do BIOS (pressione F2 durante a inicialização) para verificar ou configurar as opções de certificados de terceiros.

Além disso, você pode consultar a Seção 8.3 para verificar se os certificados de terceiros estão presentes. Se eles não estiverem incluídos, por favor, atualize o BIOS para a versão mais recente e siga a Seção 5. SOP 1: Atualizar Certificados de Secure Boot.

Se os certificados de terceiros necessários ainda não aparecerem, por favor, prossiga para a Seção 6. SOP 2: Adicionar Certificados de Secure Boot.

No caso de redefinir as chaves de Secure Boot resultar na tela a seguir ao inicializar o Windows, siga a Seção 7. SOP 3: Restaurar Certificados de Secure Boot.

Referências

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Notas Pré-Operacionais:

1. É fortemente recomendado fazer backup de todos os dados do seu computador com antecedência para evitar qualquer possível perda de dados durante o processo de atualização manual.
2. Se o BitLocker estiver ativado, certifique-se de que ele esteja suspenso antes de prosseguir com as etapas a seguir. Assim que o processo for concluído, o BitLocker pode ser reativado.
3. Não suspender o BitLocker pode resultar em um cenário de bloqueio. Em casos onde o BitLocker não possa desbloquear automaticamente a unidade do Windows criptografada, será necessário uma chave de recuperação. Esta chave é um código numérico de 48 dígitos que permite recuperar o acesso ao seu disco rígido. Caso não esteja familiarizado com os procedimentos descritos abaixo, por favor, entre em contato conosco para obter assistência.

Se você precisar recuperar sua chave de recuperação do BitLocker, consulte o artigo: Como recuperar sua chave de recuperação do BitLocker.

Etapas do procedimento

1. Ligue ou reinicie o sistema, então pressione F2 para entrar na configuração do BIOS.   
   Pressione F7 para mudar para o Modo Avançado e navegue até Segurança > Inicialização Segura (ou diretamente Segurança > Inicialização Segura).   
   
2. Selecione Gerenciamento de Chaves.   
   
3. Selecione Assinaturas Autorizadas (db).   
   
4. Escolha Atualizar.   
   
5. Selecione Sim.   
     
   Nota: Selecionar “Sim” irá restaurar os certificados correspondentes para as configurações de fábrica. Quaisquer certificados adicionados anteriormente pelo sistema ou usuário serão removidos.
6. Selecione Detalhes para verificar se os certificados das Assinaturas Autorizadas (db) foram atualizados com sucesso.   
   
7. Pressione F10 para Salvar & Sair.
8. Se o BitLocker foi suspenso anteriormente, por favor, certifique-se de reativá-lo.

1. Baixe o Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, e salve no diretório raiz do USB drive (por exemplo, “D:\windows uefi ca 2023.crt”).
2. Ligue ou reinicie o sistema, depois pressione F2 para entrar na configuração da BIOS.   
   Pressione F7 para alternar para o Modo Avançado, depois navegue até Segurança > Secure Boot (ou diretamente Segurança > Secure Boot).   
   
3. Selecione Gerenciamento de Chaves.   
   
4. Selecione Assinaturas Autorizadas (db).   
   
5. Escolha Anexar.   
   
6. Selecione Não.   
   
7. Selecione o drive USB.
8. Localize e selecione o arquivo armazenado no diretório raiz: “windows uefi ca 2023.crt”.
9. Selecione Certificado de Chave Pública, depois pressione Enter na tela de confirmação do GUID.   
   
10. Selecione Sim.   
    
11. Verifique se Windows UEFI CA 2023 está agora listado em Assinaturas Autorizadas (db).   
    
12. Pressione F10 para Salvar & Sair.
13. Se o BitLocker estiver ativado, certifique-se de que você tenha sua chave de recuperação do BitLocker disponível.

Como verificar o status da Chave de Secure Boot UEFI? Os seguintes procedimentos não afetam o status do Windows BitLocker.

8.1 Etapas Preliminares

Digite PowerShell na barra de pesquisa do Windows.

Nos resultados da pesquisa, clique com o botão direito em Windows PowerShell e selecione Executar como Administrador.

8.2 Verificando Certificados de Secure Boot do Microsoft Windows

1. Confirme que a Key Exchange Key (KEK) inclui “Microsoft Corporation KEK 2K CA 2023”.  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'   
   Um resultado Verdadeiro indica que o certificado "Microsoft Corporation KEK 2K CA 2023" está presente.   
   
2. Confirme que os Bancos de Assinatura (DB) incluem "Windows UEFI CA 2023".   
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'   
   Um resultado Verdadeiro indica que o certificado "Windows UEFI CA 2023" está presente.   
   

8.3 Verificando Certificados de Secure Boot de Terceiros da Microsoft

1. Confirme que os Bancos de Assinatura (DB) incluem "Microsoft UEFI CA 2023".   
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'   
   Um resultado Verdadeiro indica que o certificado "Microsoft UEFI CA 2023" está presente.   
   
2. Confirme que os Bancos de Assinatura (DB) incluem "Microsoft Option ROM UEFI CA 2023".   
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Microsoft Option ROM UEFI CA 2023" está presente.