Windows Secure Boot - 証明書の有効期限切れと証明書の更新

Answer 1: 以下の手順に従ってください。

1. Windows の検索バーに「Windows セキュリティ」と入力します。
   
2. 左側メニューから「デバイス セキュリティ」を選択します。「Secure Boot」の項目で状態を確認できます。また、アイコンの色で状態が表示されます（緑・黄色・赤）。
   

Answer 2: 以下の手順に従ってください。

1. Windows Update を実行し、OS ビルドが 26100.6725 以降であることを確認します。
   Windows 11バージョン 25H2 更新履歴 - Microsoft サポート
2. Windows の検索バーに「Windows PowerShellと入力します。表示された項目から PowerShell を管理者として起動します。
   
3. 以下のコマンドを実行します。
   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f  
   
4. 次に以下のコマンドを実行します。
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"  
   
5. PC を再起動します。
6. 再度、PowerShell を管理者で開きます。
7. 以下のコマンドを再実行します。
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"  
   
8. 再度、PC を再起動します。
9. Secure Boot アイコンが緑に変わっていることを確認してください。緑に変わっている場合、正常です。

Answer 3: デバイスは引き続き通常通り起動・動作し、Windows Update も受信できます。
ただし、以下の点に注意が必要です。

・ブート初期段階の新しいセキュリティ保護を受けられない
・ブートマネージャーや Secure Boot データベースの更新ができない
・新たな脆弱性対策が適用されない

時間が経つにつれて、これらにより PC が新たな脅威からの保護機能が制限され、BitLocker によるセキュリティ強化やサードパーティ製のブートローダーなど、Secure Boot の信頼性に依存するシナリオに影響を及ぼす可能性があります。ほとんどの Windows OS 搭載 PC は自動的に更新された認証情報を取得し、多くの OEM メーカーも必要に応じてファームウェアの更新を提供します。PC を常に最新の状態に保つことで、安全な起動のために設計された完全なセキュリティ保護を引き続き受けられるようになります。

Answer 4: Secure Boot を無効にすると、ファームウェアに新しい証明書が適用されません。その結果、ブートキットなどのマルウェアに対して脆弱になります。

Answer 5: 2023 年の署名付きブートマネージャーが使用されている状態で、その証明書を含まない初期状態に戻すと、Secure Boot によって起動がブロックされます。

対処方法として以下をご参照ください。

[ノートPC]トラブルシューティング - 起動時にSecure Boot Violationが表示される場合 | サポート 公式 | ASUS 日本

Answer 6: 可能です。Windows が起動できる状態であれば更新が適用できます。更新された証明書はガイドラインに従ってファームウェアに書き込まれます。また、多くの PC は自動更新されますが、場合によってはファームウェア更新が必要です。

Answer 7: PowerShell を管理者として実行し、以下で確認いただけます。

1. Windows の検索バーに「Windows PowerShellと入力します。
   表示された項目から PowerShell を管理者として起動します。
   
2. 以下のコマンドを実行して、KEK (Key Exchange Key) に「Microsoft Corporation KEK 2K CA 2023」が含まれているか確認してください。
   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   ※True と表示されれば含まれています。
   
3. 以下のコマンドを実行して、Signature Databases (DB) に「Windows UEFI CA 2023」が含まれているか確認してください。
   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   ※True と表示されれば含まれています。
   
4. 以下のコマンドを実行して、Signature Databases (DB) に「Microsoft UEFI CA 2023」が含まれているか確認してください。
   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   ※True と表示されれば含まれています。
   

Answer 8: Secure Boot 証明書は更新済みですが、まだファームウェアに適用されていない可能性があります。

Windows Update を実行して OS ビルドを 26100.6725、もしくは以降へ更新してください。その後、Question 2 の手順を実施してください。

Windows 11バージョン 25H2 更新履歴 - Microsoft サポート

Answer 9: 特定のファームウェアまたはハードウェア条件により、安全に更新できないためブロックされている可能性があります。

ASUS カスタマーサービスセンターへお問い合わせください。

Answer 10: PK によって署名された KEK を検出できていない可能性があります。

ASUS カスタマーサービスセンターへお問い合わせください。