[PC Comercial] Anúncio sobre a Atualização do Certificado de Inicialização Segura do Windows

2.1 Não Afetado (Novo Certificado Suportado por Padrão)

Todos os PCs empresariais enviados em 2024 ou depois, assim como todos os novos modelos futuros, já possuem o novo certificado Secure Boot pré-integrado. Nenhuma atualização manual é necessária.

Notebooks (NB): Os seguintes modelos, assim como todas as séries lançadas após 2024.

Desktops: Os seguintes modelos, assim como todas as séries lançadas após 2024.

Tudo-em-Um (AIO): Os seguintes modelos, assim como todas as séries lançadas após 2024.

2.2 Modelos que Requerem Atualização

Se o seu modelo não estiver listado acima, isso significa que o dispositivo está usando atualmente o certificado antigo e precisará ser atualizado.

Como faço para obter a atualização?

Para os modelos afetados, a ASUS já concluiu o envio do novo certificado. A atualização será entregue automaticamente pela Microsoft via Windows Update.

Ação recomendada: Vá em Configurações > Windows Update e certifique-se de que as atualizações automáticas estão ativadas.

Instalação automática: O sistema irá baixar e instalar automaticamente o certificado de segurança mais recente—nenhuma ferramenta ou download manual é necessário.

Esta seção explica os certificados de Boot Seguro de terceiros da Microsoft. Se o seu dispositivo precisar executar ambientes não-Windows (por exemplo, Linux) ou hardware de terceiros (por exemplo, GPUs externas), revise as informações a seguir.

3.1 Visão geral do Certificado de Terceiros da Microsoft

3.2 Se Certificados de Terceiros da Microsoft Forem Necessários, Consulte as Instruções a Seguir

Nota: Se seu computador comercial estiver com Windows BitLocker ativado, por favor suspenda o BitLocker previamente seguindo as instruções abaixo antes de realizar qualquer operação de Secure Boot.

Dispositivos enviados em 2026 já incluem esses certificados. Você pode acessar a Configuração da BIOS (pressione F2 durante a inicialização) para verificar ou configurar as opções de certificados de terceiros.

Além disso, você pode consultar a Seção 8.3 para verificar se os certificados de terceiros estão presentes. Caso não estejam incluídos, atualize a BIOS para a versão mais recente e siga a Seção 5. SOP 1: Atualizar Certificados de Secure Boot.

Se os certificados de terceiros necessários ainda não aparecerem, prossiga para a Seção 6. SOP 2: Adicionar Certificados de Secure Boot.

Caso a redefinição das chaves de Secure Boot resulte na aparição da tela a seguir ao iniciar o Windows, siga a Seção 7. SOP 3: Restaurar Certificados de Secure Boot.

Referências

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Notas Pré-Operacionais:

1. É altamente recomendável fazer backup de todos os dados do seu computador com antecedência para evitar qualquer possível perda de dados durante o processo de atualização manual.
2. Se o BitLocker estiver ativado, por favor, certifique-se de que ele esteja suspenso antes de prosseguir com os passos seguintes. Uma vez concluído o processo, o BitLocker pode ser reativado.
3. Não suspender o BitLocker pode resultar em um cenário de bloqueio. Nos casos em que o BitLocker não conseguir desbloquear automaticamente a unidade Windows criptografada, uma chave de recuperação será necessária. Esta chave é um código numérico de 48 dígitos que permite recuperar o acesso ao seu disco rígido. Caso você não esteja familiarizado com os procedimentos descritos abaixo, entre em contato conosco para obter assistência.

Se você precisar recuperar sua chave de recuperação do BitLocker, consulte o artigo: Como recuperar sua chave de recuperação do BitLocker.

Etapas do Procedimento

1. Ligue ou reinicie o sistema, depois pressione F2 para entrar na configuração do BIOS.   
   Pressione F7 para alternar para o Modo Avançado, depois navegue até Segurança > Secure Boot (ou diretamente Segurança > Secure Boot).   
   
2. Selecione Gerenciamento de Chaves.   
   
3. Selecione Assinaturas Autorizadas (db).   
   
4. Escolha Atualizar.   
   
5. Selecione Sim.   
     
   Nota: Selecionar "Sim" irá restaurar os certificados correspondentes para as configurações de fábrica. Quaisquer certificados previamente adicionados pelo sistema ou pelo usuário serão removidos.
6. Selecione Detalhes para verificar se os certificados de Assinaturas Autorizadas (db) foram atualizados com sucesso.   
   
7. Pressione F10 para Salvar & Sair.
8. Se o BitLocker foi suspenso anteriormente, por favor, certifique-se de reabilitá-lo.

1. Baixe Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776 e salve no diretório raiz de um drive USB (por exemplo, "D:\windows uefi ca 2023.crt").
2. Ligue ou reinicie o sistema e pressione F2 para entrar na configuração do BIOS.   
   Pressione F7 para mudar para o Modo Avançado e, em seguida, navegue até Segurança > Secure Boot (ou diretamente Segurança > Secure Boot).   
   
3. Selecione Gerenciamento de Chaves.   
   
4. Selecione Assinaturas Autorizadas (db).   
   
5. Escolha Adicionar.   
   
6. Selecione Não.   
   
7. Selecione o drive USB.
8. Localize e selecione o arquivo armazenado no diretório raiz: "windows uefi ca 2023.crt".
9. Selecione Public Key Certificate, depois pressione Enter na tela de confirmação do GUID.   
   
10. Selecione Yes.   
    
11. Verifique se Windows UEFI CA 2023 agora está listado em Authorized Signatures (db).   
    
12. Pressione F10 para Salvar & Sair.
13. Se BitLocker estiver ativado, certifique-se de que você tenha sua chave de recuperação do BitLocker disponível.

Como verificar o status da chave do UEFI Secure Boot? Os procedimentos a seguir não afetam o status do Windows BitLocker.

8.1 Etapas Preliminares

Digite PowerShell na barra de pesquisa do Windows.

Nos resultados da pesquisa, clique com o botão direito em Windows PowerShell e selecione Executar como Administrador.

8.2 Verificando Certificados Secure Boot do Microsoft Windows

1. Confirme que a Chave de Troca de Chaves (KEK) inclui “Microsoft Corporation KEK 2K CA 2023”.  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Um resultado True indica que o certificado "Microsoft Corporation KEK 2K CA 2023" está presente.  
   
2. Confirme que os Bancos de Dados de Assinatura (DB) incluem "Windows UEFI CA 2023".  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Um resultado True indica que o certificado "Windows UEFI CA 2023" está presente.  
   

8.3 Verificando Certificados de Inicialização Segura de Terceiros da Microsoft

1. Confirme que os Bancos de Dados de Assinatura (DB) incluem "Microsoft UEFI CA 2023".  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Um resultado True indica que o certificado "Microsoft UEFI CA 2023" está presente.  
   
2. Confirme que os Bancos de Dados de Assinaturas (DB) incluem "Microsoft Option ROM UEFI CA 2023".  
   Execute: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
   Um resultado Verdadeiro indica que o certificado "Microsoft Option ROM UEFI CA 2023" está presente.