Scadenza del certificato Secure Boot di Windows e aggiornamenti dei certificati

Risposta 1: Si prega di seguire i passaggi seguenti:

1. Nella barra di ricerca di Windows, digita Windows Security. 
   
2. Seleziona [Sicurezza dispositivo] dal menu a sinistra. Sotto [Secure boot], vedrai un indicatore di stato. L'icona Secure boot è contrassegnata da un badge verde, giallo o rosso, ognuno rappresenta lo stato attuale di Secure boot sul tuo sistema. 
   

Risposta 2: Si prega di consultare i passaggi di risoluzione dettagliati nell'articolo: Risoluzione dei problemi - L'icona Secure Boot visualizza un badge giallo o rosso.

Risposta 3: Dopo la scadenza del certificato di avvio sicuro, i dispositivi che non hanno ancora ricevuto il nuovo certificato 2023 possono comunque avviarsi e funzionare normalmente, e gli aggiornamenti standard di Windows continueranno ad essere installati. Tuttavia, questi dispositivi non potranno ottenere nuove protezioni di sicurezza durante il processo di avvio iniziale, inclusi l'aggiornamento degli amministratori di avvio di Windows, i database di Secure Boot, le liste di revoca o le misure di mitigazione per vulnerabilità di livello boot recentemente scoperte.

Col tempo, ciò limita la protezione del dispositivo contro minacce emergenti e può influire su scenari che si basano sulla fiducia Secure Boot, come il rafforzamento di BitLocker o i boot loader di terze parti. La maggior parte dei dispositivi Windows riceverà automaticamente le credenziali aggiornate e molti produttori OEM forniranno anche aggiornamenti del firmware quando necessario. Mantenere il dispositivo sempre aggiornato aiuta a garantire che possa continuare a ricevere la completa protezione di sicurezza progettata per un avvio sicuro.

Risposta 4: I dispositivi che disattivano Secure Boot non riceveranno nuove credenziali Secure Boot nel firmware. Pertanto, saranno ancora vulnerabili a malware di livello boot (come i bootkit) poiché la protezione di Secure Boot non viene applicata.

Risposta 5: Se Windows ha già utilizzato il boot manager firmato 2023, ma il firmware viene resettato al valore di default che non include il certificato Windows UEFI CA 2023, secure boot bloccherà il processo di avvio.

Puoi consultare la FAQ:

[Notebook] Risoluzione problemi - Errore Secure Boot Violation all'avvio

Risposta 6: Sì. Anche se le credenziali esistenti sono scadute, è comunque possibile applicare gli aggiornamenti cumulativi che contengono nuove credenziali secure boot. Se il dispositivo può avviare Windows e installare gli aggiornamenti, le credenziali aggiornate possono essere scritte nel firmware secondo le linee guida di distribuzione pubblicate. La maggior parte dei dispositivi riceverà questi aggiornamenti automaticamente, ma alcuni sistemi potrebbero richiedere ulteriori aggiornamenti firmware.

Risposta 7: Si prega di seguire i seguenti passaggi:

1. Inserisci PowerShell nella casella di ricerca del sistema Windows. 
   Nei risultati di ricerca, fai clic sull'icona di Windows PowerShell e seleziona Esegui come amministratore. 
   
2. Conferma che Key Exchange Key (KEK) includa "Microsoft Corporation KEK 2K CA 2023" 
   Inserisci [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   Se appare True, significa che include "Microsoft Corporation KEK 2K CA 2023" 
   
3. Conferma che Signature Databases (DB) includano "Windows UEFI CA 2023" 
   Inserisci [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   Se appare True, significa che include "Windows UEFI CA 2023" 
   
4. Conferma che Signature Databases (DB) includano "Microsoft UEFI CA 2023" 
   Inserisci [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   Se appare True, significa che include "Microsoft UEFI CA 2023" 
   

Risposta 8: Il motivo di questo messaggio di errore è che le credenziali del secure boot sono state aggiornate, ma non sono ancora state applicate al firmware del dispositivo.

Si prega di eseguire prima Windows Update per assicurarsi che la versione del sistema operativo sia 26100.6725 o successiva, e poi procedere con i passaggi descritti nella Domanda 2.

Cronologia degli aggiornamenti di Windows 11, versione 25H2.

Risposta 9: Il motivo di questo messaggio di errore è che l'aggiornamento del boot è deliberatamente bloccato perché il dispositivo rispetta condizioni note di firmware o hardware, che impediscono il completamento dell’aggiornamento in modo sicuro.

Si prega di segnalare il problema tramite il centro assistenza ASUS.

Risposta 10: Il motivo di questo messaggio di errore è che il dispositivo non riesce a trovare la Key Exchange Key (KEK) firmata da PK.

Si prega di segnalare il problema tramite il centro assistenza ASUS.