Windows Secure Boot 憑證即將到期及更新方式

答案一、請參考如下步驟：

1. 在Windows系統搜尋欄中輸入Windows 安全性。 
   
2. 進入左方[裝置安全性]，可以找到[安全開機]，安全開機圖示上附有綠色、黃色或紅色的徽章，代表你目前的安全開機狀態。 
   

答案二、請參考如下步驟：

1. 請先進行Windows Update，確認OS組建版本為26100.6725或更新的版本。 
   Windows 11，版本 25H2 更新歷史
2. 在Windows系統搜索欄中輸入Windows PowerShell。 
   在搜索結果中，點擊Windows PowerShell圖示，選擇以管理員身份運行（Run as Administrator）。 
   
3. 輸入reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f。 
   
4. 輸入Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"。 
   
5. 重新開機。
6. 在Windows系統搜索框中輸入PowerShell。 
   在搜索結果中，點擊Windows PowerShell圖示，選擇以管理員身份運行（Run as Administrator）。
7. 再輸入一次Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"。 
   
8. 重新開機。
9. 確認安全啟動圖示是否變為綠色。

答案三、安全開機憑證過期後，尚未收到新 2023 年憑證的裝置仍能正常啟動並運作，標準 Windows 更新也會繼續安裝。 然而，這些裝置將無法在早期開機過程中獲得新的安全防護，包括更新 Windows 開機管理員、安全開機資料庫、撤銷清單，或針對新發現的開機層級漏洞的緩解措施。

隨著時間推移，這限制了裝置對新興威脅的防護，並可能影響依賴安全啟動信任的情境，如 BitLocker 強化或第三方開機載入程式。 大多數 Windows 裝置會自動收到更新的憑證，許多 OEM 廠商也會在需要時提供韌體更新。 保持裝置隨時更新，有助於確保它能持續獲得安全開機設計中所設計的完整安全防護。

答案四、關閉安全開機的裝置將不會在韌體中收到新的安全開機憑證。 因此，他們仍會受到開機層惡意軟體（如 bootkit）的侵害，因為安全啟動保護未被強制執行。

答案五、如果 Windows 已經使用 2023 簽署的開機管理器，但韌體被重置為不包含 Windows UEFI CA 2023 憑證的預設值，安全開機會阻擋開機程序。

可以參考FAQ：

[筆記型電腦] 疑難排解 - 開機時出現Secure Boot Violation

答案六、是的。 即使現有憑證已過期，包含新安全開機憑證的累積更新仍可套用。若裝置能啟動 Windows 並安裝更新，則可依照已發布的部署指引將更新的憑證寫入韌體。 大多數裝置會自動收到這些更新，但有些系統可能需要額外的韌體更新。

答案七、請參考如下步驟：

1. 在Windows系統搜索框中輸入PowerShell。 
   在搜索結果中，點擊Windows PowerShell圖示，選擇以管理員身份運行（Run as Administrator）。 
   
2. 確認Key Exchange Key (KEK)包含 "Microsoft Corporation KEK 2K CA 2023"。 
   輸入 [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   出現 True 就是有包含 "Microsoft Corporation KEK 2K CA 2023"。 
   
3. 確認Signature Databases (DB)包含 "Windows UEFI CA 2023"。 
   輸入 [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   出現 True 就是有包含 "Windows UEFI CA 2023"。 
   
4. 確認Signature Databases (DB)包含 " Microsoft UEFI CA 2023"。 
   輸入 [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   出現 True 就是有包含 " Microsoft UEFI CA 2023"。 
   

答案八、出現此error message的原因是安全開機憑證已更新，但尚未套用到裝置韌體上。

請先進行Windows Update，確認OS組建版本為26100.6725或更新的版本。再參照問題二的步驟進行操作。

Windows 11，版本 25H2 更新歷史。

答案九、出現此error message的原因是開機更新被刻意阻擋，因為裝置符合已知的韌體或硬體狀況，導致更新無法安全完成。

請透過華碩服務中心回報問題。

答案十、出現此error message的原因是此裝置無法找到 PK 簽署的金鑰交換金鑰（KEK）。

請透過華碩服務中心回報問題。