[Commercial PC] Annuncio sull’aggiornamento del certificato Secure Boot di Windows

2.1 Non interessato (Nuovo certificato supportato di default)

Tutti i PC aziendali spediti nel 2024 o dopo, così come tutti i futuri nuovi modelli, hanno il nuovo certificato Secure Boot pre-integrato. Non è richiesto alcun aggiornamento manuale.

Notebook (NB): I seguenti modelli, così come tutte le serie lanciate dopo il 2024.

Desktop: I seguenti modelli, così come tutte le serie lanciate dopo il 2024.

All-in-One (AIO): I seguenti modelli, così come tutte le serie lanciate dopo il 2024.

2.2 Modelli che richiedono un aggiornamento

Se il tuo modello non è elencato sopra, significa che il dispositivo sta attualmente utilizzando il certificato precedente e dovrà essere aggiornato.

Come ottengo l’aggiornamento?

Per i modelli interessati, ASUS ha completato l’invio del nuovo certificato. L’aggiornamento sarà consegnato automaticamente da Microsoft tramite Windows Update.

Azione consigliata: Vai su Impostazioni > Windows Update e assicurati che gli aggiornamenti automatici siano abilitati.

Installazione automatica: Il sistema scaricherà e installerà automaticamente il certificato di sicurezza più recente—non sono necessari strumenti o download manuali.

Questa sezione spiega i certificati Secure Boot di terze parti Microsoft. Se il tuo dispositivo deve avviare ambienti non-Windows (ad esempio, Linux) o hardware di terze parti (ad esempio, GPU esterne), consulta quanto segue.

3.1 Panoramica dei certificati Microsoft di terze parti

3.2 Se sono necessari i certificati di terze parti Microsoft, fare riferimento alle istruzioni seguenti

Nota: Se il tuo computer aziendale ha Windows BitLocker attivato, sospendilo in anticipo seguendo le istruzioni riportate di seguito prima di eseguire qualsiasi operazione di Secure Boot.

I dispositivi spediti nel 2026 includono già questi certificati. È possibile accedere a BIOS Setup (premere F2 durante l'avvio) per verificare o configurare le opzioni dei certificati di terze parti.

Inoltre, è possibile consultare la Sezione 8.3 per verificare se i certificati di terze parti sono presenti. Se non sono inclusi, aggiornare il BIOS all'ultima versione e seguire Sezione 5. SOP 1: Aggiornare i certificati Secure Boot.

Se i certificati di terze parti richiesti non compaiono ancora, procedere con Sezione 6. SOP 2: Aggiungere i certificati Secure Boot.

Nel caso in cui il ripristino delle chiavi Secure Boot comporti la visualizzazione della seguente schermata durante l'avvio di Windows, seguire Sezione 7. SOP 3: Ripristinare i certificati Secure Boot.

Riferimenti

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Note Pre-Operative:

1. È fortemente consigliato eseguire il backup di tutti i dati presenti sul computer in anticipo per prevenire qualsiasi potenziale perdita di dati durante il processo di aggiornamento manuale.
2. Se BitLocker è abilitato, assicurarsi che sia sospeso prima di procedere con i seguenti passaggi. Una volta completato il processo, BitLocker può essere riabilitato.
3. La mancata sospensione di BitLocker può causare una situazione di blocco. Nei casi in cui BitLocker non riesca a sbloccare automaticamente l'unità Windows criptata, sarà necessario una chiave di ripristino. Questa chiave è un codice numerico a 48 cifre che consente di recuperare l'accesso al disco rigido. Se non si conoscono le procedure riportate di seguito, si prega di contattarci per assistenza.

Se hai bisogno di recuperare la tua chiave di ripristino BitLocker, fai riferimento all'articolo: Come recuperare la chiave di ripristino BitLocker.

Passi della procedura

1. Accendi o riavvia il sistema, poi premi F2 per entrare nella configurazione del BIOS.   
   Premi F7 per passare alla Modalità Avanzata, poi naviga su Sicurezza > Secure Boot (o direttamente Sicurezza > Secure Boot).   
   
2. Seleziona Gestione delle chiavi.   
   
3. Seleziona Firme autorizzate (db).   
   
4. Scegli Aggiorna.   
   
5. Seleziona Sì.   
     
   Nota: Selezionando "Sì" verranno ripristinati i certificati corrispondenti alle impostazioni di fabbrica. Tutti i certificati precedentemente aggiunti dal sistema o dall'utente verranno rimossi.
6. Seleziona Dettagli per verificare che i certificati delle Firme autorizzate (db) siano stati aggiornati con successo.   
   
7. Premi F10 per Salvare e Uscire.
8. Se BitLocker era stato precedentemente sospeso, assicurati che venga riattivato.

1. Scarica Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, e salvalo nella directory principale di una unità USB (ad esempio, “D:\windows uefi ca 2023.crt”).
2. Accendi o riavvia il sistema, poi premi F2 per entrare nella configurazione BIOS.   
   Premi F7 per passare alla Modalità Avanzata, poi vai su Sicurezza > Secure Boot (o direttamente Sicurezza > Secure Boot).   
   
3. Seleziona Gestione Chiavi.   
   
4. Seleziona Firme Autorizzate (db).   
   
5. Scegli Aggiungi.   
   
6. Seleziona No.   
   
7. Seleziona l'unità USB.
8. Individua e seleziona il file memorizzato nella directory principale: "windows uefi ca 2023.crt".
9. Seleziona Certificato Chiave Pubblica, poi premi Invio sulla schermata di conferma GUID.   
   
10. Seleziona Sì.   
    
11. Verifica che Windows UEFI CA 2023 sia ora elencato sotto Firme Autorizzate (db).   
    
12. Premi F10 per Salvare & Uscire.
13. Se BitLocker è abilitato, assicurati di avere a disposizione la chiave di recupero BitLocker.

Come verificare lo stato delle chiavi UEFI Secure Boot? Le procedure seguenti non influenzano lo stato di Windows BitLocker.

8.1 Passi Preliminari

Inserisci PowerShell nella barra di ricerca di Windows.

Dai risultati della ricerca, clicca con il tasto destro su Windows PowerShell e seleziona Esegui come Amministratore.

8.2 Verifica dei Certificati Secure Boot Microsoft Windows

1. Conferma che la Key Exchange Key (KEK) includa “Microsoft Corporation KEK 2K CA 2023”.  
   Esegui: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Un risultato di True indica che il certificato "Microsoft Corporation KEK 2K CA 2023" è presente.  
   
2. Conferma che i Database delle firme (DB) includono "Windows UEFI CA 2023".  
   Esegui: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Un risultato di True indica che il certificato "Windows UEFI CA 2023" è presente.  
   

8.3 Verifica dei certificati Secure Boot Microsoft di terze parti

1. Conferma che i Database delle firme (DB) includono "Microsoft UEFI CA 2023".  
   Esegui: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Un risultato di True indica che il certificato "Microsoft UEFI CA 2023" è presente.  
   
2. Conferma che i Database delle firme (DB) includono "Microsoft Option ROM UEFI CA 2023".  
   Esegui: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Un risultato di True indica che il certificato "Microsoft Option ROM UEFI CA 2023" è presente.