[Commercial PC] Pengumuman Pembaruan Sertifikat Secure Boot Windows

2.1 Tidak Terpengaruh (Sertifikat Baru Didukung Secara Default)

Semua PC bisnis yang dikirim pada tahun 2024 atau setelahnya, serta semua model baru di masa depan, sudah memiliki sertifikat Secure Boot baru yang terintegrasi sebelumnya. Tidak diperlukan pembaruan manual.

Laptop (NB): Model-model berikut, serta semua seri yang diluncurkan setelah tahun 2024.

Desktop: Model berikut, serta semua seri yang diluncurkan setelah 2024.

All-in-One (AIO): Model berikut, serta semua seri yang diluncurkan setelah 2024.

2.2 Model yang Memerlukan Pembaruan

Jika model Anda tidak tercantum di atas, itu berarti perangkat saat ini menggunakan sertifikat lama dan perlu diperbarui.Bagaimana Cara Mendapatkan Pembaruan?Untuk model yang terdampak, ASUS telah menyelesaikan pengajuan sertifikat baru. Pembaruan akan dikirimkan secara otomatis oleh Microsoft melalui Windows Update.Tindakan yang Disarankan: Masuk ke Pengaturan > Windows Update dan pastikan pembaruan otomatis telah diaktifkan.Instalasi otomatis: Sistem akan otomatis mengunduh dan memasang sertifikat keamanan terbaru—tidak diperlukan alat manual atau unduhan apapun.Bagian 3. Microsoft Third-Party Secure Boot Certificates: Fungsionalitas dan KebutuhannyaBagian ini menjelaskan tentang sertifikat Secure Boot pihak ketiga Microsoft. Jika perangkat Anda perlu menjalankan lingkungan non-Windows (misal: Linux) atau perangkat keras pihak ketiga (misal: GPU eksternal), silakan tinjau informasi berikut.3.1 Ikhtisar Sertifikat Pihak Ketiga MicrosoftSertifikat Asli Sertifikat Terbaru DeskripsiMicrosoft Corporation UEFI CA 2011Microsoft UEFI CA 2023

Ini adalah sertifikat opsional yang digunakan "selama proses boot" untuk menandatangani aplikasi pihak ketiga atau sistem operasi (seperti Linux) yang dijalankan di luar lingkungan Windows.

Ini tidak diperlukan jika kasus penggunaan tersebut tidak berlaku.

Microsoft Option ROM UEFI CA 2023Ini adalah sertifikat opsional yang digunakan "selama proses boot" untuk menandatangani Option ROM dari perangkat keras eksternal.    
Jika perangkat keras pihak ketiga (seperti GPU eksternal) tidak penting selama proses boot sistem, sertifikat ini tidak berlaku.

3.2 Jika Sertifikat Pihak Ketiga Microsoft Diperlukan, Silakan Lihat Petunjuk Berikut

Catatan: Jika komputer komersial Anda memiliki Windows BitLocker yang diaktifkan, harap nonaktifkan sementara sebelumnya dengan mengikuti petunjuk di bawah ini sebelum melakukan operasi Secure Boot apa pun.

Perangkat yang dikirim pada tahun 2026 sudah termasuk sertifikat ini. Anda dapat masuk ke Pengaturan BIOS (tekan F2 saat memulai) untuk memverifikasi atau mengkonfigurasi opsi sertifikat pihak ketiga.

Selain itu, Anda dapat merujuk ke Bagian 8.3 untuk memverifikasi apakah sertifikat pihak ketiga sudah ada. Jika belum termasuk, silakan perbarui BIOS ke versi terbaru dan ikuti Bagian 5. SOP 1: Memperbarui Sertifikat Secure Boot.

Jika sertifikat pihak ketiga yang diperlukan masih belum muncul, silakan lanjutkan ke Bagian 6. SOP 2: Menambahkan Sertifikat Secure Boot.

Jika pengaturan ulang Secure Boot key menyebabkan layar berikut muncul saat boot ke Windows, silakan ikuti Bagian 7. SOP 3: Mengembalikan Sertifikat Secure Boot.

Referensi

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Catatan Pra-Operasi:

1. Sangat disarankan untuk mencadangkan semua data di komputer Anda terlebih dahulu untuk mencegah potensi kehilangan data selama proses pembaruan manual.
2. Jika BitLocker diaktifkan, pastikan untuk menangguhkannya sebelum melanjutkan ke langkah-langkah berikut. Setelah proses selesai, BitLocker dapat diaktifkan kembali.
3. Kegagalan dalam menangguhkan BitLocker dapat mengakibatkan skenario terkunci (lockout). Dalam kasus di mana BitLocker tidak dapat membuka enkripsi drive Windows secara otomatis, kunci pemulihan akan diperlukan. Kunci ini adalah kode numerik 48 digit yang memungkinkan Anda mendapatkan kembali akses ke hard drive Anda. Jika Anda tidak familiar dengan prosedur yang dijelaskan di bawah ini, silakan hubungi kami untuk bantuan lebih lanjut.

Jika Anda perlu mengambil kunci pemulihan BitLocker Anda, silakan merujuk ke artikel: Cara Mengambil Kunci Pemulihan BitLocker Anda.

Langkah Prosedur

1. Nyalakan atau mulai ulang sistem, lalu tekan F2 untuk masuk ke pengaturan BIOS.    
   Tekan F7 untuk beralih ke Mode Lanjutan, lalu navigasikan ke Security > Secure Boot (atau langsung Security > Secure Boot).    
   
2. Pilih Key Management.    
   
3. Pilih Authorized Signatures (db).    
   
4. Pilih Update.    
   
5. Pilih Yes.    
      
   Catatan: Memilih “Ya” akan mengembalikan sertifikat terkait ke pengaturan default pabrik. Sertifikat apa pun yang sebelumnya ditambahkan oleh sistem atau pengguna akan dihapus.
6. Pilih Detail untuk memverifikasi bahwa sertifikat Authorized Signatures (db) telah berhasil diperbarui.    
   
7. Tekan F10 untuk Simpan & Keluar.
8. Jika BitLocker sebelumnya telah ditangguhkan, pastikan untuk mengaktifkannya kembali.

1. Unduh Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, dan simpan ke direktori root USB drive (misal, “D:\windows uefi ca 2023.crt”).
2. Nyalakan atau restart sistem, lalu tekan F2 untuk masuk ke pengaturan BIOS.    
   Tekan F7 untuk beralih ke Advanced Mode, lalu navigasikan ke Security > Secure Boot (atau langsung Security > Secure Boot).    
   
3. Pilih Key Management.    
   
4. Pilih Authorized Signatures (db).    
   
5. Pilih Append.    
   
6. Pilih No.    
   
7. Pilih USB drive.
8. Cari dan pilih file yang disimpan di direktori root: “windows uefi ca 2023.crt”.
9. Pilih Public Key Certificate, lalu tekan Enter pada layar konfirmasi GUID.    
   
10. Pilih Yes.    
    
11. Verifikasi bahwa Windows UEFI CA 2023 sekarang tercantum di bawah Authorized Signatures (db).    
    
12. Tekan F10 untuk Simpan & Keluar.
13. Jika BitLocker diaktifkan, pastikan Anda memiliki kunci pemulihan BitLocker Anda yang tersedia.

Bagaimana cara memverifikasi status UEFI Secure Boot Key? Prosedur berikut tidak memengaruhi status Windows BitLocker.

8.1 Langkah-Langkah Awal

Ketik PowerShell di bilah pencarian Windows.

Dari hasil pencarian, klik kanan Windows PowerShell dan pilih Jalankan sebagai Administrator.

8.2 Memverifikasi Sertifikat Secure Boot Microsoft Windows

1. Konfirmasi bahwa Key Exchange Key (KEK) sudah mencakup “Microsoft Corporation KEK 2K CA 2023”.   
   Jalankan: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'   
   Hasil True menandakan bahwa sertifikat "Microsoft Corporation KEK 2K CA 2023" sudah ada.   
   
2. Konfirmasi bahwa Signature Databases (DB) sudah mencakup "Windows UEFI CA 2023".   
   Jalankan: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'   
   Hasil True menandakan bahwa sertifikat "Windows UEFI CA 2023" sudah ada.   
   

8.3 Memverifikasi Sertifikat Secure Boot 3rd Party Microsoft

1. Konfirmasi bahwa Signature Databases (DB) sudah mencakup "Microsoft UEFI CA 2023".   
   Jalankan: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'   
   Hasil True menandakan bahwa sertifikat "Microsoft UEFI CA 2023" sudah ada.   
   
2. Konfirmasi bahwa Signature Databases (DB) sudah mencakup "Microsoft Option ROM UEFI CA 2023".   
   Jalankan: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'   
   Hasil True menunjukkan bahwa sertifikat "Microsoft Option ROM UEFI CA 2023" sudah ada.