[מחשב עסקי] הודעה על עדכון תעודת האבטחה של Windows Secure Boot

2.1 לא מושפע (תעודה חדשה נתמכת כברירת מחדל)

כל מחשבי ה-PC העסקיים שנשלחו ב-2024 ואילך, וכן כל הדגמים החדשים בעתיד, מגיעים עם תעודת Secure Boot החדשה משולבת מראש. אין צורך בעדכון ידני.

מחשבים ניידים (NB): הדגמים הבאים, וכן כל סדרה שתושק אחרי 2024.

מחשבים שולחניים: הדגמים הבאים, וכן כל הסדרות שהושקו אחרי 2024.

All-in-One (AIO): הדגמים הבאים, וכן כל הסדרות שהושקו לאחר 2024.

2.2 דגמים שדורשים עדכון

אם הדגם שלך אינו מופיע למעלה, המשמעות היא שהמכשיר משתמש כרגע בתעודה הישנה ותצטרך לעדכן אותו.

איך אני מקבל את העדכון?

עבור הדגמים המושפעים, ASUS השלימה את הגשת האישור החדש. העדכון יסופק באופן אוטומטי על ידי Microsoft דרך Windows Update.

פעולה מומלצת: עבור אל הגדרות > Windows Update וודא כי עדכונים אוטומטיים מופעלים.

התקנה אוטומטית: המערכת תוריד ותתקין באופן אוטומטי את אישור האבטחה העדכני—אין צורך בכלים ידניים או הורדות.

סעיף זה מסביר על תעודות Secure Boot צד שלישי של Microsoft. אם המכשיר שלך צריך להפעיל סביבות שאינן Windows [לדוגמה, לינוקס] או חומרה צד שלישי [לדוגמה, GPU חיצוני], נא עיין בהמשך.

3.1 סקירה כללית של תעודת צד שלישי של Microsoft

3.2 אם נדרשים אישורים של צד שלישי של Microsoft, נא לעיין בהוראות הבאות

הערה: אם במחשב העסקי שלך מופעל Windows BitLocker, נא להשעות אותו מראש לפי ההוראות למטה לפני ביצוע פעולות Secure Boot כלשהן.

מכשירים שנשלחו בשנת 2026 כבר כוללים את האישורים האלו. באפשרותך להיכנס ל-BIOS Setup (לחץ על F2 במהלך האתחול) כדי לאמת או להגדיר אפשרויות תעודות צד שלישי.

בנוסף, תוכל לעיין בסעיף 8.3 כדי לבדוק אם קיימות תעודות צד שלישי. אם הן אינן כלולות, יש לעדכן את ה-BIOS לגרסה העדכנית ביותר ולפעול לפי סעיף 5. SOP 1: עדכון תעודות Secure Boot.

אם תעודות צד שלישי הדרושות עדיין אינן מופיעות, יש להמשיך ל-סעיף 6. SOP 2: הוספת תעודות Secure Boot.

במקרה שאיפוס מפתחות Secure Boot גורם להופעת המסך הבא בעת אתחול ל-Windows, נא לפעול לפי סעיף 7. SOP 3: שחזור תעודות Secure Boot.

מקורות

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

הערות מקדימות לפני ביצוע:

1. מומלץ בחום לבצע גיבוי לכל הנתונים במחשב שלך מראש כדי למנוע אובדן נתונים פוטנציאלי במהלך תהליך העדכון הידני.
2. אם BitLocker מופעל, אנא ודא שהוא מושהה לפני המשך בצעדים הבאים. לאחר סיום התהליך, ניתן להפעיל מחדש את BitLocker.
3. אי השעיית BitLocker עלולה לגרום לתרחיש של נעילה. במקרים בהם BitLocker אינו מצליח לפתוח אוטומטית את כונן Windows המוצפן, יידרש מפתח שיחזור. מפתח זה הוא קוד מספרי בן 48 ספרות שמאפשר לך לקבל שוב גישה לכונן הקשיח שלך. אם אינך מכיר את ההליכים המפורטים למטה, אנא צור איתנו קשר לקבלת עזרה.

אם יש לך צורך לאחזר את מפתח השחזור של BitLocker, נא לעיין במאמר: איך לאחזר את מפתח השחזור של BitLocker.

שלבי הפעולה

1. הדלק או אתחל את המערכת, ולאחר מכן לחץ על F2 כדי להיכנס להגדרות BIOS.   
   לחץ על F7 כדי לעבור למצב מתקדם, ואז נווט אל אבטחה > Secure Boot (או ישירות אבטחה > Secure Boot).   
   
2. בחר Key Management.   
   
3. בחר Authorized Signatures (db).   
   
4. בחר עדכן.   
   
5. בחר כן.   
     
   הערה: בחירה ב-“כן” תחזיר את האישורים המתאימים לברירת המחדל של המפעל. כל אישור שנוסף קודם לכן על ידי המערכת או המשתמש יוסר.
6. בחר פרטים כדי לוודא שאישורי Authorized Signatures (db) עודכנו בהצלחה.   
   
7. לחץ על F10 כדי לשמור ולצאת.
8. אם BitLocker הושעה קודם לכן, ודא שהוא מופעל מחדש.

1. הורד Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, ושמור אותו בתיקיית השורש של כונן USB (לדוג' “D:\windows uefi ca 2023.crt”).
2. הפעל או אתחל את המערכת, ואז לחץ על F2 כדי להיכנס ל-BIOS setup.   
   לחץ על F7 כדי לעבור למצב מתקדם, לאחר מכן נווט אל Security > Secure Boot (או ישירות Security > Secure Boot).   
   
3. בחר ב-Key Management.   
   
4. בחר ב-Authorized Signatures (db).   
   
5. בחר Append.   
   
6. בחר No.   
   
7. בחר את כונן ה-USB.
8. אתר ובחר את הקובץ המאוחסן בתיקיית השורש: “windows uefi ca 2023.crt”.
9. בחר Public Key Certificate, ולאחר מכן לחץ Enter במסך אישור ה-GUID.   
   
10. בחר Yes.   
    
11. אמת ש-Windows UEFI CA 2023 מופיע כעת תחת חתימות מורשות (db).   
    
12. לחץ על F10 כדי לשמור ולצאת.
13. אם [BitLocker] מופעל, ודא שמפתח השחזור של [BitLocker] זמין אצלך.

כיצד לאמת את מצב מפתח ה-UEFI Secure Boot? הנהלים הבאים אינם משפיעים על מצב [Windows BitLocker].

8.1 צעדים ראשוניים

הזן PowerShell בשורת החיפוש של [Windows].

מתוצאות החיפוש, לחץ עם לחצן ימין על [Windows PowerShell] ובחר [הפעל כמנהל מערכת].

8.2 אימות תעודות Secure Boot של [Microsoft Windows]

1. אשר שמפתח Key Exchange Key (KEK) כולל “Microsoft Corporation KEK 2K CA 2023”.  
   הפעל: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   תוצאה של True מצביעה על כך שתעודת "Microsoft Corporation KEK 2K CA 2023" קיימת.  
   
2. אשר כי מסדי נתוני החתימות (DB) כוללים את "Windows UEFI CA 2023".  
   הפעל: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   תוצאה של True מצביעה על כך שתעודת "Windows UEFI CA 2023" קיימת.  
   

8.3 אימות תעודות Secure Boot צד שלישי של Microsoft

1. אשר כי מסדי נתוני החתימות (DB) כוללים את "Microsoft UEFI CA 2023".  
   הפעל: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   תוצאה של True מצביעה על כך שתעודת "Microsoft UEFI CA 2023" קיימת.  
   
2. אשר כי מסדי נתוני החתימות (DB) כוללים את "Microsoft Option ROM UEFI CA 2023".  
   בצע: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
   תוצאה של True מציינת כי התעודה "Microsoft Option ROM UEFI CA 2023" קיימת.