[Komputer komercyjny] Ogłoszenie o aktualizacji certyfikatu Windows Secure Boot

2.1 Nie Dotyczy (Nowy Certyfikat Obsługiwany Domyślnie)

Wszystkie komputery biznesowe wysyłane od 2024 roku lub później, a także wszystkie przyszłe nowe modele, mają nowy certyfikat Secure Boot zintegrowany fabrycznie. Ręczna aktualizacja nie jest wymagana.

Laptopy (NB): Następujące modele, jak również wszystkie serie wprowadzone po 2024 roku.

Komputery stacjonarne: Następujące modele, jak również wszystkie serie wprowadzone po 2024 roku.

Wszystko w jednym (AIO): Następujące modele, a także wszystkie serie wprowadzone po 2024 roku.

2.2 Modele wymagające aktualizacji

Jeśli Twój model nie znajduje się powyżej, oznacza to, że urządzenie aktualnie korzysta ze starszego certyfikatu i będzie wymagało aktualizacji.

Jak uzyskać aktualizację?

Dla dotkniętych modeli, ASUS zakończył przesłanie nowego certyfikatu. Aktualizacja zostanie automatycznie dostarczona przez Microsoft za pośrednictwem Windows Update.

Zalecane działanie: Przejdź do Ustawienia > Windows Update i upewnij się, że automatyczne aktualizacje są włączone.

Automatyczna instalacja: System automatycznie pobierze i zainstaluje najnowszy certyfikat bezpieczeństwa—nie są wymagane żadne narzędzia ani pobieranie ręczne.

Ta sekcja wyjaśnia Microsoft third-party Secure Boot certificates. Jeśli Twoje urządzenie musi uruchamiać środowiska inne niż Windows (np. Linux) lub sprzęt firm trzecich (np. zewnętrzne GPU), zapoznaj się z poniższymi informacjami.

3.1 Microsoft Third-Party Certificate Overview

3.2 Jeśli są wymagane certyfikaty Microsoft osób trzecich, zapoznaj się z poniższymi instrukcjami

Uwaga: Jeśli na Twoim komputerze biznesowym jest włączony Windows BitLocker, uprzejmie zawieś go wcześniej według poniższych instrukcji, zanim wykonasz jakiekolwiek operacje Secure Boot.

Urządzenia wysyłane w 2026 roku już zawierają te certyfikaty. Możesz wejść do ustawień BIOS (naciśnij F2 podczas uruchamiania), aby zweryfikować lub skonfigurować opcje certyfikatów stron trzecich.

Dodatkowo, możesz odnieść się do Sekcji 8.3, aby zweryfikować, czy certyfikaty stron trzecich są obecne. Jeśli nie są dołączone, zaktualizuj BIOS do najnowszej wersji i postępuj według Sekcja 5. SOP 1: Aktualizacja certyfikatów Secure Boot.

Jeśli wymagane certyfikaty stron trzecich nadal się nie pojawiają, przejdź do Sekcja 6. SOP 2: Dodaj certyfikaty Secure Boot.

W przypadku, gdy resetowanie kluczy Secure Boot powoduje pojawienie się następującego ekranu podczas uruchamiania Windows, postępuj według Sekcja 7. SOP 3: Przywróć certyfikaty Secure Boot.

Odnośniki

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Uwagi przedoperacyjne:

1. Zaleca się wcześniejsze wykonanie kopii zapasowej wszystkich danych na komputerze, aby zapobiec potencjalnej utracie danych podczas ręcznego procesu aktualizacji.
2. Jeśli funkcja BitLocker jest włączona, upewnij się, że została zawieszona przed przystąpieniem do poniższych kroków. Po zakończeniu procesu możesz ponownie włączyć BitLocker.
3. Niezawieszenie funkcji BitLocker może skutkować scenariuszem zablokowania dostępu. W przypadkach, gdy BitLocker nie może automatycznie odblokować zaszyfrowanego dysku Windows, wymagany będzie klucz odzyskiwania. Klucz ten to 48-cyfrowy kod numeryczny, który umożliwia odzyskanie dostępu do dysku twardego. Jeśli nie jesteś zaznajomiony z procedurami opisanymi poniżej, prosimy o kontakt w celu uzyskania pomocy.

Jeśli potrzebujesz odzyskać klucz odzyskiwania BitLocker, zapoznaj się z artykułem: Jak odzyskać swój klucz odzyskiwania BitLocker.

Kroki procedury

1. Włącz lub zrestartuj system, a następnie naciśnij F2, aby wejść do ustawień BIOS.   
   Naciśnij F7, aby przejść do trybu zaawansowanego, następnie przejdź do Security > Secure Boot (lub bezpośrednio Security > Secure Boot).   
   
2. Wybierz Zarządzanie kluczami.   
   
3. Wybierz Autoryzowane podpisy (db).   
   
4. Wybierz Aktualizuj.   
   
5. Wybierz Tak.   
     
   Uwaga: Wybranie „Tak” przywróci odpowiednie certyfikaty do ustawień fabrycznych. Wszelkie certyfikaty wcześniej dodane przez system lub użytkownika zostaną usunięte.
6. Wybierz Szczegóły, aby zweryfikować, że certyfikaty Autoryzowane podpisy (db) zostały pomyślnie zaktualizowane.   
   
7. Naciśnij F10, aby zapisać i wyjść.
8. Jeśli BitLocker był wcześniej zawieszony, upewnij się, że został ponownie włączony.

1. Pobierz Windows UEFI CA 2023: https://go.microsoft.com/fwlink/?linkid=2239776, i zapisz go w katalogu głównym dysku USB (np. „D:\windows uefi ca 2023.crt”).
2. Włącz lub zrestartuj system, następnie naciśnij F2, aby wejść do ustawień BIOS.   
   Naciśnij F7, aby przełączyć się do trybu zaawansowanego, następnie przejdź do Bezpieczeństwo > Secure Boot (lub bezpośrednio Bezpieczeństwo > Secure Boot).   
   
3. Wybierz Zarządzanie kluczami.   
   
4. Wybierz Autoryzowane podpisy (db).   
   
5. Wybierz Dodaj.   
   
6. Wybierz Nie.   
   
7. Wybierz dysk USB.
8. Znajdź i wybierz plik zapisany w katalogu głównym: „windows uefi ca 2023.crt”.
9. Wybierz Certyfikat klucza publicznego, następnie naciśnij Enter na ekranie potwierdzenia GUID.   
   
10. Wybierz Tak.   
    
11. Zweryfikuj, czy Windows UEFI CA 2023 jest teraz wymieniony pod Autoryzowanymi Podpisami [db].   
    
12. Naciśnij F10, aby zapisać i wyjść.
13. Jeśli BitLocker jest włączony, upewnij się, że masz łatwo dostępny [klucz odzyskiwania BitLocker].

Jak zweryfikować status klucza UEFI Secure Boot? Następujące procedury nie wpływają na status systemu Windows BitLocker.

8.1 Kroki wstępne

Wpisz PowerShell w pasku wyszukiwania Windows.

Z wyników wyszukiwania kliknij prawym przyciskiem myszy Windows PowerShell i wybierz Uruchom jako administrator.

8.2 Weryfikacja certyfikatów Secure Boot Microsoft Windows

1. Potwierdź, że Key Exchange Key [KEK] zawiera „Microsoft Corporation KEK 2K CA 2023”.  
   Uruchom: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Wynik „Prawda” oznacza, że certyfikat „Microsoft Corporation KEK 2K CA 2023” jest obecny.  
   
2. Potwierdź, że Bazy Podpisów (DB) zawierają „Windows UEFI CA 2023”.  
   Uruchom: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Wynik „Prawda” oznacza, że certyfikat „Windows UEFI CA 2023” jest obecny.  
   

8.3 Weryfikacja Certyfikatów Microsoft 3rd Party Secure Boot

1. Potwierdź, że Bazy Podpisów (DB) zawierają „Microsoft UEFI CA 2023”.  
   Uruchom: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Wynik „Prawda” oznacza, że certyfikat „Microsoft UEFI CA 2023” jest obecny.  
   
2. Potwierdź, że Bazy Podpisów (DB) zawierają „Microsoft Option ROM UEFI CA 2023”.  
   Wykonaj: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023' Wynik True oznacza, że certyfikat "Microsoft Option ROM UEFI CA 2023" jest obecny.