Windows Secure Boot-certificaat verval en certificaat updates

Antwoord 1: Volg de onderstaande stappen:

1. Typ in de Windows zoekbalk Windows Beveiliging. 
   
2. Selecteer [Apparaatbeveiliging] in het menu aan de linkerkant. Onder [Secure boot] zie je een statusindicator. Het Secure boot-pictogram is gemarkeerd met een groen, geel of rood symbool, die elk de huidige status van Secure boot op je systeem weergeven. 
   

Antwoord 2: Volg de onderstaande stappen:

1. Voer Windows Update uit en zorg ervoor dat de OS-build 26100.6725 of later is. 
   Windows 11, versie 25H2 updategeschiedenis - Microsoft Ondersteuning
2. Typ in de Windows zoekbalk Windows PowerShell. 
   Klik in de zoekresultaten met de rechtermuisknop op Windows PowerShell en selecteer Uitvoeren als administrator. 
   
3. Voer de volgende opdracht in: 
   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f 
   
4. Voer daarna de volgende opdracht in: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
5. Herstart je computer.
6. Open na het opnieuw opstarten Windows PowerShell opnieuw als administrator.
7. Voer de volgende opdracht opnieuw in: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
8. Start uw computer nogmaals opnieuw op.
9. Controleer of het Secure Boot-pictogram is veranderd naar groen, wat aangeeft dat Secure Boot nu is ingeschakeld en correct functioneert.

Antwoord 3: Nadat het Secure Boot-certificaat is verlopen, kunnen apparaten die het nieuwe 2023-certificaat nog niet hebben ontvangen, nog steeds normaal opstarten en functioneren en worden standaard Windows-updates nog steeds geïnstalleerd. Deze apparaten kunnen echter geen nieuwe beveiligingsbescherming ontvangen tijdens het vroege opstartproces, waaronder het bijwerken van Windows bootbeheer, Secure Boot-databases, intrekkingslijsten of mitigerende maatregelen voor nieuw ontdekte kwetsbaarheden op opstartniveau.

Na verloop van tijd beperkt dit de bescherming van het apparaat tegen opkomende dreigingen en kan dit invloed hebben op scenario's die vertrouwen op Secure Boot, zoals BitLocker-versterking of bootloaders van derden. De meeste Windows-apparaten zullen automatisch bijgewerkte inloggegevens ontvangen en veel OEM-fabrikanten zullen indien nodig ook firmware-updates verstrekken. Het apparaat altijd up-to-date houden helpt ervoor te zorgen dat het volledige beveiligingsbescherming kan blijven ontvangen zoals ontworpen voor veilig opstarten.

Antwoord 4: Apparaten die secure boot uitschakelen, ontvangen geen nieuwe secure boot-referenties in de firmware. Daarom blijven ze kwetsbaar voor malware op het opstartniveau (zoals bootkits), omdat de bescherming van secure boot niet wordt afgedwongen.

Antwoord 5: Als Windows al gebruik heeft gemaakt van de in 2023 ondertekende boot manager, maar de firmware wordt teruggezet naar de standaardwaarde zonder het Windows UEFI CA 2023-certificaat, zal secure boot het opstartproces blokkeren.

Je kunt de veelgestelde vragen (FAQ) raadplegen:

[Notebook] Probleemoplossing - Secure Boot Violatie Fout bij Opstarten

Antwoord 6: Ja. Zelfs als de bestaande referenties zijn verlopen, kunnen cumulatieve updates met nieuwe secure boot-referenties nog steeds worden toegepast. Als het apparaat Windows kan starten en updates kan installeren, kunnen de bijgewerkte referenties volgens de gepubliceerde implementatierichtlijnen in de firmware worden geschreven. De meeste apparaten ontvangen deze updates automatisch, maar sommige systemen hebben mogelijk extra firmware-updates nodig.

Antwoord 7: Raadpleeg de volgende stappen:

1. Voer PowerShell in het Windows-systeem zoekvak in. 
   Klik in de zoekresultaten op het Windows PowerShell-pictogram en selecteer Uitvoeren als Administrator. 
   
2. Bevestig dat Key Exchange Key (KEK) "Microsoft Corporation KEK 2K CA 2023" bevat 
   Voer in [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   Als True verschijnt, betekent dit dat het "Microsoft Corporation KEK 2K CA 2023" bevat 
   
3. Bevestig dat Signature Databases (DB) "Windows UEFI CA 2023" bevat 
   Voer in [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   Als True verschijnt, betekent dit dat het "Windows UEFI CA 2023" bevat 
   
4. Bevestig dat Signature Databases (DB) "Microsoft UEFI CA 2023" bevat 
   Voer in [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   Als True verschijnt, betekent dit dat het "Microsoft UEFI CA 2023" bevat 
   

Antwoord 8: De reden voor deze foutmelding is dat de secure boot-referenties zijn bijgewerkt, maar nog niet zijn toegepast op de apparaatfirmware.

Voer eerst Windows Update uit om ervoor te zorgen dat de OS-build 26100.6725 of later is, en ga vervolgens verder met de stappen beschreven in Vraag 2.

Geschiedenis van updates van Windows 11, versie 25H2.

Antwoord 9: De reden voor deze foutmelding is dat de boot-update opzettelijk wordt geblokkeerd omdat het apparaat voldoet aan bekende firmware- of hardwarevoorwaarden, waardoor de update niet veilig kan worden voltooid.

Rapporteer het probleem via het ASUS-servicecentrum.

Antwoord 10: De reden voor dit foutbericht is dat het apparaat de Key Exchange Key (KEK) ondertekend door PK niet kan vinden.

Gelieve het probleem te melden via het ASUS servicecentrum.