Wygaśnięcie certyfikatu Secure Boot w Windows oraz aktualizacje certyfikatów

Odpowiedź 1: Proszę wykonać poniższe kroki:

1. W pasku wyszukiwania Windows wpisz Windows Security. 
   
2. Wybierz [Bezpieczeństwo urządzenia] z menu po lewej stronie. Pod [Secure boot] zobaczysz wskaźnik statusu. Ikona Secure boot jest oznaczona zielonym, żółtym lub czerwonym znacznikiem, każdy oznacza aktualny stan Secure boot na Twoim systemie. 
   

Odpowiedź 2: Proszę wykonać poniższe kroki:

1. Uruchom Windows Update i upewnij się, że wersja systemu operacyjnego to 26100.6725 lub nowsza. 
   Historia aktualizacji Windows 11, wersja 25H2 - Pomoc techniczna Microsoft
2. W pasku wyszukiwania Windows wpisz Windows PowerShell. 
   W wynikach wyszukiwania kliknij prawym przyciskiem na Windows PowerShell i wybierz Uruchom jako administrator. 
   
3. Wprowadź następującą komendę: 
   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0X5944 /f 
   
4. Następnie wprowadź następującą komendę: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
5. Uruchom ponownie komputer.
6. Po ponownym uruchomieniu, otwórz ponownie Windows PowerShell jako administrator.
7. Wprowadź ponownie następującą komendę: 
   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update" 
   
8. Uruchom ponownie komputer jeszcze raz.
9. Sprawdź, czy ikona Secure Boot zmieniła się na zieloną, co oznacza, że funkcja Secure Boot jest teraz włączona i działa poprawnie.

Odpowiedź 3: Po wygaśnięciu certyfikatu Secure Boot, urządzenia, które nie otrzymały jeszcze nowego certyfikatu 2023, nadal mogą się uruchamiać i działać normalnie, a standardowe aktualizacje Windows będą nadal instalowane. Jednak te urządzenia nie będą mogły uzyskać nowych zabezpieczeń podczas wczesnego procesu bootowania, w tym aktualizacji administratorów bootowania Windows, baz danych Secure Boot, list odwołań lub środków zaradczych dla nowo odkrytych luk na poziomie bootowania.

Z biegiem czasu ogranicza to ochronę urządzenia przed pojawiającymi się zagrożeniami i może wpłynąć na scenariusze polegające na zaufaniu Secure Boot, takie jak wzmocnienie BitLocker lub loaderów bootujących firm trzecich. Większość urządzeń Windows automatycznie otrzyma zaktualizowane poświadczenia, a wielu producentów OEM zapewni również aktualizacje firmware'u w razie potrzeby. Utrzymywanie urządzenia na bieżąco pomaga zapewnić, że nadal może ono otrzymywać pełną ochronę bezpieczeństwa zaprojektowaną dla bezpiecznego uruchamiania.

Odpowiedź 4: Urządzenia, które wyłączają zabezpieczony boot, nie otrzymają nowych poświadczeń zabezpieczonego bootu w firmware. Dlatego pozostaną podatne na złośliwe oprogramowanie warstwy bootu (takie jak bootkity), ponieważ ochrona zabezpieczonego bootu nie jest egzekwowana.

Odpowiedź 5: Jeśli Windows już używał menedżera bootu podpisanego w 2023 roku, ale firmware został zresetowany do domyślnej wartości, która nie zawiera certyfikatu Windows UEFI CA 2023, zabezpieczony boot zablokuje proces bootowania.

Możesz zapoznać się z FAQ:

[Notebook] Rozwiązywanie problemów - Błąd naruszenia zabezpieczonego bootu przy uruchamianiu

Odpowiedź 6: Tak. Nawet jeśli obecne poświadczenia wygasły, można nadal zastosować aktualizacje zbiorcze zawierające nowe poświadczenia zabezpieczonego bootu. Jeśli urządzenie może uruchomić Windows i zainstalować aktualizacje, zaktualizowane poświadczenia mogą zostać zapisane w firmware zgodnie z opublikowanymi wytycznymi wdrożeniowymi. Większość urządzeń automatycznie otrzyma te aktualizacje, ale niektóre systemy mogą wymagać dodatkowych aktualizacji firmware.

Odpowiedź 7: Proszę odnieść się do poniższych kroków:

1. Wpisz PowerShell w polu wyszukiwania systemu Windows. 
   W wynikach wyszukiwania kliknij ikonę Windows PowerShell i wybierz Uruchom jako administrator. 
   
2. Potwierdź, że Key Exchange Key (KEK) zawiera "Microsoft Corporation KEK 2K CA 2023" 
   Wprowadź [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023' 
   Jeśli pojawi się True, oznacza to, że zawiera "Microsoft Corporation KEK 2K CA 2023" 
   
3. Potwierdź, że Signature Databases (DB) zawiera "Windows UEFI CA 2023" 
   Wprowadź [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023' 
   Jeśli pojawi się True, oznacza to, że zawiera "Windows UEFI CA 2023" 
   
4. Potwierdź, że Signature Databases (DB) zawiera "Microsoft UEFI CA 2023" 
   Wprowadź [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023' 
   Jeśli pojawi się True, oznacza to, że zawiera "Microsoft UEFI CA 2023" 
   

Odpowiedź 8: Powodem tego komunikatu o błędzie jest to, że poświadczenia zabezpieczonego bootowania zostały zaktualizowane, ale nie zostały jeszcze zastosowane do firmware urządzenia.

Najpierw uruchom Windows Update, aby upewnić się, że wersja systemu operacyjnego wynosi 26100.6725 lub nowsza, a następnie przejdź do kroków opisanych w Pytaniu 2.

Historia aktualizacji Windows 11, wersja 25H2.

Odpowiedź 9: Powodem tego komunikatu o błędzie jest to, że aktualizacja bootowania jest celowo zablokowana, ponieważ urządzenie spełnia znane warunki firmware lub sprzętowe, które uniemożliwiają bezpieczne zakończenie aktualizacji.

Proszę zgłosić problem za pośrednictwem centrum serwisowego ASUS.

Odpowiedź 10: Powodem pojawienia się tego komunikatu o błędzie jest to, że urządzenie nie może odnaleźć Klucza Wymiany Kluczy (KEK) podpisanego przez PK.

Proszę zgłosić problem poprzez centrum serwisowe ASUS.